Vulnerabilidad en Zoho que afecta a ManageEngine Desktop Central (CVE-2021-44757)

ANÁLISIS

La vulnerabilidad permitía a un atacante sin autenticar, realizar acciones no autorizadas en el servidor. De esta forma, el atacante podría leer datos no permitidos o crear archivos zip de manera arbitraria en el servidor. [2]

Productos afectados:

• ManageEngine Desktop Central  < 10.1.2137.9 
• ManageEngine Desktop Central MSP    < 10.1.2137.9

Esta vulnerabilidad aún no tiene una puntuación CVSSv3 oficial, pero por el contexto de las fuentes se considera de prioridad crítica.

No existe prueba de concepto que explote esta vulnerabilidad.

RECOMENDACIONES

Zoho ya ha resuelto esta vulnerabilidad en su parche 10.1.2137.9. Para solucionarla, se debe iniciar sesión en la consola de Desktop Central [4] e instalar el archivo PPM para actualizar.

REFERENCIAS

[1] https://thehackernews.com/2022/01/zoho-releases-patch-for-critical-flaw.html
[2] https://securityaffairs.co/wordpress/126828/security/zoho-desktop-central-cve-2021-44757-flaw.html
[3] https://www.manageengine.com/products/desktop-central/cve-2021-44757.html
[4] https://accounts.zoho.com/signin?serviceurl=https://me.zoho.com/portal/mestore/redirectManageEngine.do&hide_signup=true&servicename=ManageEngine&css=https://www.zoho.com/css/me-login-spack.css