CVE-2022-28810
Zoho ManageEngine ADSelfService Plus Remote Code Execution Vulnerability
Beschreibung
CVE-2022-28810 ist eine Sicherheitsluecke in Zoho ManageEngine ADSelfService Plus vor Build 6122, die mehrere Schwachstellentypen kombiniert: OS-Command-Injection und die Verwendung von hartcodierten Zugangsdaten. Ein authentifizierter Administrator kann ueber die Funktion fuer benutzerdefinierte Skripte in den Richtlinieneinstellungen beliebige Betriebssystembefehle als SYSTEM ausfuehren. Aufgrund eines Standard-Administratorpassworts koennen Angreifer diese Funktionalitaet mit minimalem Aufwand missbrauchen, und ein teilweise authentifizierter Angreifer kann durch ein nicht bereinigtes Passwortfeld beliebige Befehle einschleusen. Die CISA hat CVE-2022-28810 in den KEV-Katalog aufgenommen, und der EPSS-Score von 91,87 % deutet auf eine nahezu sichere Ausnutzung hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| zohocorp | manageengine adselfservice plus | < 6.1; 6.1 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/166816/ManageEngine-ADSelfService-Plus-Custom-Script-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://github.com/rapid7/metasploit-framework/pull/16475(Exploit, Patch, Third Party Advisory)
- https://www.manageengine.com/products/self-service-password/kb/cve-2022-28810.html(Patch, Vendor Advisory)
- https://www.rapid7.com/blog/post/2022/04/14/cve-2022-28810-manageengine-adselfservice-plus-authenticated-command-execution-fixed/(Exploit, Patch, Technical Description, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-28810(US Government Resource)
Schwachstellentyp
CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')
Bei CVE-2022-28810 werden Benutzereingaben in ManageEngine ADSelfService Plus nicht ausreichend bereinigt, bevor sie in Betriebssystembefehle eingebunden werden. Dies ermoeglicht es einem Angreifer, ueber die benutzerdefinierte Skriptfunktion beliebige OS-Befehle als SYSTEM einzuschleusen und auszufuehren.
Mehr erfahren: CWE-78 — OS Command Injection
CWE-798: Use of Hard-coded Credentials
ManageEngine ADSelfService Plus verwendet ein Standard-Administratorpasswort, das bei der Installation nicht zwingend geaendert werden muss. Diese hartcodierten Zugangsdaten ermoeglichen es Angreifern, mit minimalem Aufwand administrativen Zugang zu erlangen und die Command-Injection-Schwachstelle auszunutzen.
Mehr erfahren: CWE-798 — Use of Hard-coded Credentials
Auswirkungsanalyse
CVE-2022-28810 ist ueber das Netzwerk ausnutzbar, ohne dass physischer Zugang erforderlich ist, und die Angriffsomplexitaet ist gering. Obwohl formal hohe Privilegien (Administratorzugang) und Benutzerinteraktion erforderlich sind, wird die tatsaechliche Huerde durch das Standard-Administratorpasswort erheblich gesenkt. Mit einem CVSS-Score von 6.8 (MEDIUM) nach CVSS v3.1 sind die Auswirkungen auf Vertraulichkeit (Hoch), Integritaet (Hoch) und Verfuegbarkeit (Hoch) gravierend — ein erfolgreicher Angriff fuehrt zur Ausfuehrung beliebiger Betriebssystembefehle mit SYSTEM-Rechten, was eine vollstaendige Kompromittierung des Servers ermoeglicht. Der EPSS-Score von 91,87 % (99,68. Perzentil) signalisiert eine nahezu sichere aktive Ausnutzung, weshalb Organisationen, die ManageEngine ADSelfService Plus einsetzen, umgehend handeln muessen.
Exploit-Reifegrad
Oeffentlicher Exploit-Code ist verfuegbar fuer CVE-2022-28810 ueber Packet Storm Security, ein Metasploit-Modul sowie eine detaillierte technische Analyse von Rapid7. Die CISA hat die aktive Ausnutzung dieser Schwachstelle in Zoho ManageEngine bestaetigt und sie in den KEV-Katalog mit einer Behebungsfrist bis zum 28. Maerz 2023 aufgenommen. Der EPSS-Score von 91,87 % unterstreicht die ausserordentlich hohe Wahrscheinlichkeit aktiver Exploit-Aktivitaeten. Die Kombination aus verfuegbarem Metasploit-Modul und Standard-Administratorpasswort macht die Ausnutzung besonders niedrigschwellig.
Behebung
- Befolgen Sie die CISA-Empfehlung: Wenden Sie die vom Hersteller bereitgestellten Gegenmassnahmen an oder stellen Sie die Nutzung des Produkts ein, falls keine Patches verfuegbar sind.
- Aktualisieren Sie Zoho ManageEngine ADSelfService Plus auf Build 6122 oder hoeher. Der Hersteller stellt einen Sicherheitspatch bereit, der die Command-Injection-Schwachstelle behebt.
- Aendern Sie umgehend das Standard-Administratorpasswort und erzwingen Sie starke, einzigartige Passwoerter fuer alle administrativen Konten. Beschraenken Sie den administrativen Zugang auf vertrauenswuerdige Netzwerke und IP-Adressen.
- Ueberpruefen Sie die Serverprotokolle auf verdaechtige Aktivitaeten, insbesondere auf ungewoehnliche Befehlsausfuehrungen im Kontext der benutzerdefinierten Skriptfunktion. Suchen Sie nach Anzeichen fuer unautorisierte SYSTEM-Prozesse.
- Deaktivieren Sie die Funktion fuer benutzerdefinierte Skripte in den Richtlinieneinstellungen, sofern diese nicht zwingend benoetigt wird, und implementieren Sie Netzwerksegmentierung, um den Zugriff auf die ManageEngine-Verwaltungsoberflaeche einzuschraenken.
Technische Details
CVE-2022-28810 kombiniert zwei Schwachstellentypen in Zoho ManageEngine ADSelfService Plus: OS-Command-Injection (CWE-78) und die Verwendung hartcodierter Zugangsdaten (CWE-798). Die Schwachstelle befindet sich in der Funktion fuer benutzerdefinierte Skripte innerhalb der Richtlinieneinstellungen, bei der Benutzereingaben nicht ausreichend bereinigt werden, bevor sie in Shell-Befehle eingebunden werden. Ein authentifizierter Administrator kann dadurch beliebige Betriebssystembefehle einschleusen, die als SYSTEM ausgefuehrt werden. Zusaetzlich werden Eingaben im Passwortfeld nicht bereinigt, wodurch ein teilweise authentifizierter Angreifer ebenfalls Befehle injizieren kann. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H bestaetigt, dass der Angriff zwar hohe Privilegien und Benutzerinteraktion erfordert, aber das vorhandene Standard-Administratorpasswort die tatsaechliche Angriffshuerde drastisch reduziert.
Häufig gestellte Fragen
Wird CVE-2022-28810 aktiv ausgenutzt?
Ja, die CISA hat CVE-2022-28810 in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen, was eine bestaetigte aktive Ausnutzung belegt. Der EPSS-Score von 91,87 % (99,68. Perzentil) deutet auf eine nahezu sichere Ausnutzung hin. Ein Zusammenhang mit Ransomware-Kampagnen ist derzeit nicht bekannt.
Welche Produkte sind von CVE-2022-28810 betroffen?
CVE-2022-28810 betrifft Zoho ManageEngine ADSelfService Plus vor Build 6122. Alle aelteren Versionen des Produkts sind potenziell verwundbar. Administratoren sollten pruefen, ob ihre installierte Version aelter als Build 6122 ist, und umgehend aktualisieren.
Wie behebe ich CVE-2022-28810?
Aktualisieren Sie ManageEngine ADSelfService Plus auf Build 6122 oder hoeher und aendern Sie umgehend das Standard-Administratorpasswort. Beschraenken Sie zusaetzlich den Netzwerkzugang zur Verwaltungsoberflaeche und deaktivieren Sie nicht benoetigte benutzerdefinierte Skriptfunktionen.
Wie schwerwiegend ist CVE-2022-28810?
CVE-2022-28810 wird mit einem CVSS-Score von 6.8 als MEDIUM eingestuft. Trotz der formalen Einstufung ist das tatsaechliche Risiko durch die Kombination aus Standard-Administratorpasswort und verfuegbarem Metasploit-Modul als hoch einzuschaetzen. Der EPSS-Score von 91,87 % (99,68. Perzentil) zeigt, dass diese Schwachstelle haeufiger als fast alle anderen CVEs aktiv ausgenutzt wird.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.