CVE-2021-44077

CVSS 9.8 CRITICALEPSS 93.5%● KEVCWE-306

Em resumo

Zoho ManageEngine ServiceDesk Plus e produtos relacionados permitem que invasores executem código malicioso no servidor sem fazer login. Isso ocorre por uma falha em como a aplicação processa requisições de API REST, colocando todos os dados em risco grave.

Detalhe técnico

Vulnerabilidade de execução remota de código não autenticada existe no endpoint /RestAPI do servlet devido a controles de acesso inadequados na configuração Struts, especificamente na ação ImportTechnicians. Um atacante pode explorar isso sem autenticação para executar código arbitrário com privilégios do servidor, afetando ServiceDesk Plus (<11306), ServiceDesk Plus MSP (<10530) e SupportCenter Plus (<11014).

Resumo gerado e traduzido por IA a partir da descrição oficial.

Zoho ManageEngine ServiceDesk Plus before 11306, ServiceDesk Plus MSP before 10530, and SupportCenter Plus before 11014 are vulnerable to unauthenticated remote code execution. This is related to /RestAPI URLs in a servlet, and ImportTechnicians in the Struts configuration.

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Produtos afetados

n/a · n/a

PoCs públicas encontradas — 3

githubgithub.com/horizon3ai/CVE-2021-44077★ 36 githubgithub.com/pizza-power/Golang-CVE-2021-44077-POC★ 2 cve_referencepacketstormsecurity.com/files/165400/ManageEngine-ServiceDesk-Plus-Remote-Code-Execution.htmlnão verificado

⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.

Quer saber se a sua infraestrutura está exposta a isto?

Falar com a TrueHacking →

Referências

http://packetstormsecurity.com/files/165400/ManageEngine-ServiceDesk-Plus-Remote-Code-Execution.html https://pitstop.manageengine.com/portal/en/community/topic/security-advisory-authentication-bypass-vulnerability-in-servicedesk-plus-versions-11138-and-above https://pitstop.manageengine.com/portal/en/community/topic/security-advisory-for-cve-2021-44077-unauthenticated-rce-vulnerability-in-servicedesk-plus-msp-versions-10527-till-10529 https://pitstop.manageengine.com/portal/en/community/topic/security-advisory-for-cve-2021-44077-unauthenticated-rce-vulnerability-in-servicedesk-plus-versions-up-to-11305-22-11-2021 https://pitstop.manageengine.com/portal/en/community/topic/security-advisory-for-cve-2021-44077-unauthenticated-rce-vulnerability-in-supportcenter-plus-versions-11012-and-11013 https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-44077