Vulnerabilidad RCE de ManageEngine con PoC (CVE-2022-47966)
INTRODUCCIÓN
Una vulnerabilidad clasificada como crítica ha sido encontrada en productos Zoho ManageEngine. (CVE-2022-47966)
ANÁLISIS
Horizon3.ai red-teamer James Horseman publicó una prueba de concepto (PoC) exploit y análisis técnico para la autenticación de la vulnerabilidad de ejecución remota de código en los productos de Zoho ManageEngine (CVE-2022-47966) y advierte a las organizaciones a prepararse para ataques "spray and pray" a través de Internet.
Múltiples productos ManageEngine podrían permitir a un atacante remoto ejecutar código arbitrario en el sistema, causado por el uso de una dependencia de terceros obsoleta, Apache Santuario. Si el inicio de sesión único SAML está actualmente o ha estado previamente habilitado en esos productos, un atacante podría enviar una solicitud SAML con una firma no válida para ejecutar código arbitrario en el sistema.
PoC: https://github.com/horizon3ai/CVE-2022-47966
La PoC sólo funciona en productos que utilizan Apache Santuario (xmlsec) <= 1.4.1 como ServiceDesk Plus, Endpoint Central, ADManager Plus y ADSelfService Plus.
Versiones afectadas:
- Access Manager Plus
- Active Directory 360
- ADAudit Plus
- ADManager Plus
- ADSelfService Plus
- Analytics Plus
- Application Control Plus
- Asset Explorer
- Browser Security Plus
- Device Control Plus
- Endpoint Central
- Endpoint Central MSP
- Endpoint DLP
- Key Manager Plus
- OS Deployer
- PAM 360
- Password Manager Pro
- Patch Manager Plus
- Remote Access Plus
- Remote Monitoring and Management (RMM)
- ServiceDesk Plus
- ServiceDesk Plus MSP
- SupportCenter Plus
- Vulnerability Manager Plus
RECOMENDACIONES
Zoho publicó parches a finales del año pasado e instó a sus clientes a parchear este fallo de seguridad de gravedad crítica.
REFERENCIAS
https://securityonline.info/researchers-release-poc-exploit-for-manageengine-rce-cve-2022-47966/
https://github.com/horizon3ai/CVE-2022-47966
https://www.manageengine.com/security/advisory/CVE/cve-2022-47966.html
https://www.rapid7.com/blog/post/2023/01/19/etr-cve-2022-47966-rapid7-observed-exploitation-of-critical-manageengine-vulnerability/