CVE-2022-47966
Zoho ManageEngine Multiple Products Remote Code Execution Vulnerability
Beschreibung
CVE-2022-47966 ist eine kritische Sicherheitslücke, die zahlreiche On-Premise-Produkte von Zoho ManageEngine betrifft, darunter ServiceDesk Plus, ADSelfService Plus, Endpoint Central und über 20 weitere Produkte. Die Schwachstelle basiert auf einer unzureichenden Eingabevalidierung in der SAML-SSO-Verarbeitung und nutzt eine veraltete Version der Apache Santuario XML Security-Bibliothek (xmlsec 1.4.1), deren XSLT-Funktionen unsicher implementiert sind. Ein nicht authentifizierter Angreifer kann über das Netzwerk beliebigen Code auf dem Server ausführen, sofern SAML SSO jemals für das betroffene Produkt konfiguriert wurde. Die CISA hat CVE-2022-47966 in ihren KEV-Katalog aufgenommen und bestätigt die aktive Ausnutzung, wobei die Schwachstelle auch mit Ransomware-Kampagnen in Verbindung gebracht wird. Mit einem CVSS-Score von 9.8 (CRITICAL) und einem EPSS-Score von 94,4 % stellt diese Schwachstelle ein maximales Sicherheitsrisiko dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| zohocorp | manageengine access manager plus | < 4.3; 4.3 |
| zohocorp | manageengine ad360 | < 4.3; 4.3 |
| zohocorp | manageengine adaudit plus | < 7.0; 7.0 |
| zohocorp | manageengine admanager plus | < 7.1; 7.1 |
| zohocorp | manageengine adselfservice plus | < 6.2; 6.2 |
| zohocorp | manageengine analytics plus | < 5.1; 5.1 |
| zohocorp | manageengine assetexplorer | < 6.9; 6.9 |
| zohocorp | manageengine key manager plus | < 6.4; 6.4 |
| zohocorp | manageengine pam360 | < 5.7; 5.7 |
| zohocorp | manageengine password manager pro | < 12.1; 12.1 |
| zohocorp | manageengine servicedesk plus | < 14.0; 14.0 |
| zohocorp | manageengine servicedesk plus msp | < 13.0; 13.0 |
| zohocorp | manageengine supportcenter plus | 11.0 |
| zohocorp | manageengine application control plus | < 10.1.2220.18 |
| zohocorp | manageengine browser security plus | < 11.1.2238.6 |
| zohocorp | manageengine device control plus | < 10.1.2220.18 |
| zohocorp | manageengine endpoint dlp plus | < 10.1.2137.6 |
| zohocorp | manageengine os deployer | < 1.1.2243.1 |
| zohocorp | manageengine patch manager plus | < 10.1.2220.18 |
| zohocorp | manageengine remote access plus | < 10.1.2228.11 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/170882/Zoho-ManageEngine-ServiceDesk-Plus-14003-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/170925/ManageEngine-ADSelfService-Plus-Unauthenticated-SAML-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/170943/Zoho-ManageEngine-Endpoint-Central-MSP-10.1.2228.10-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://attackerkb.com/topics/gvs0Gv8BID/cve-2022-47966/rapid7-analysis(Exploit, Third Party Advisory)
- https://blog.viettelcybersecurity.com/saml-show-stopper/(Exploit, Third Party Advisory)
- https://github.com/apache/santuario-xml-security-java/tags?after=1.4.6(Release Notes)
- https://github.com/horizon3ai/CVE-2022-47966(Third Party Advisory)
- https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-250a(Third Party Advisory, US Government Resource)
- https://www.horizon3.ai/manageengine-cve-2022-47966-technical-deep-dive/(Exploit, Third Party Advisory)
- https://www.manageengine.com/security/advisory/CVE/cve-2022-47966.html(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-47966(US Government Resource)
Schwachstellentyp
CWE-20: Improper Input Validation
Bei CVE-2022-47966 validieren die betroffenen ManageEngine-Produkte die eingehenden SAML-Antworten nicht ausreichend, bevor sie an die verwundbare Apache Santuario xmlsec-Bibliothek zur Verarbeitung weitergeleitet werden. Diese fehlende Eingabevalidierung ermöglicht es Angreifern, speziell präparierte SAML-Anfragen mit schadhaften XSLT-Transformationen einzuschleusen, die zur Ausführung beliebigen Codes auf dem Server führen.
Mehr erfahren: CWE-20 — Improper Input Validation
Auswirkungsanalyse
CVE-2022-47966 in Zoho ManageEngine-Produkten ist über das Netzwerk ausnutzbar, ohne dass physischer Zugang erforderlich ist, und weist eine geringe Angriffskomplexität auf. Keine Authentifizierung erforderlich: Ein Angreifer benötigt keinerlei Zugangsdaten, um die Schwachstelle auszunutzen, da der Angriff über den SAML-SSO-Endpunkt erfolgt, der naturgemäß vor der Authentifizierung erreichbar ist. Keine Benutzerinteraktion nötig: Der Angriff kann vollständig automatisiert ohne Mitwirkung eines Benutzers erfolgen. Vertraulichkeit (Hoch): Angreifer erhalten Zugriff auf sämtliche in den ManageEngine-Produkten gespeicherte Daten, einschließlich IT-Service-Tickets, Active-Directory-Konfigurationen, Passwort-Tresore und Endpoint-Management-Daten. Integrität (Hoch): Durch die Codeausführung können Systemkonfigurationen manipuliert, Backdoors installiert und die IT-Management-Infrastruktur für laterale Bewegung im Netzwerk missbraucht werden. Verfügbarkeit (Hoch): Die betroffenen IT-Management-Systeme können außer Betrieb gesetzt werden. Mit einem CVSS-Score von 9.8 (CRITICAL) und einem EPSS-Score von 94,4 % ist die Wahrscheinlichkeit einer aktiven Ausnutzung extrem hoch, und die bestätigte Nutzung durch Ransomware-Gruppen verschärft die Bedrohungslage erheblich.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist umfangreich verfügbar für CVE-2022-47966 über mehrere Quellen, darunter Packet Storm Security für ServiceDesk Plus, Packet Storm Security für ADSelfService Plus, Packet Storm Security für Endpoint Central MSP sowie eine detaillierte technische Analyse von Horizon3.ai. Die CISA hat die aktive Ausnutzung in freier Wildbahn bestätigt und die Schwachstelle mit Ransomware-Kampagnen in Verbindung gebracht. Der EPSS-Score von 94,4 % (99,97. Perzentil) bestätigt eine nahezu sichere Ausnutzungsaktivität, und Organisationen mit betroffenen ManageEngine-Installationen müssen sofort handeln.
Behebung
- Sofortige Maßnahme gemäß CISA-Vorgabe: Wenden Sie die vom Hersteller bereitgestellten Gegenmaßnahmen an oder stellen Sie die Nutzung der betroffenen Produkte ein, falls keine Patches verfügbar sind. Die CISA-Frist war der 13. Februar 2023.
- Produktspezifische Updates installieren: Aktualisieren Sie alle betroffenen ManageEngine-Produkte auf die gepatchten Versionen: Access Manager Plus vor 4308, Active Directory 360 vor 4310, ADAudit Plus vor 7081, ADManager Plus vor 7162, ADSelfService Plus vor 6211, Analytics Plus vor 5150, ServiceDesk Plus vor 14004, Password Manager Pro vor 12124, PAM 360 vor 5713, Endpoint Central vor 10.1.2228.11 und alle weiteren betroffenen Produkte gemäß dem ManageEngine Security Advisory.
- SAML-SSO-Konfiguration prüfen und absichern: Identifizieren Sie alle ManageEngine-Installationen, für die SAML SSO jemals konfiguriert wurde, da diese auch ohne aktive SAML-Nutzung verwundbar sein können. Beschränken Sie den Zugriff auf SAML-Endpunkte durch Netzwerksegmentierung und Firewall-Regeln auf bekannte Identity-Provider-IP-Adressen.
- Überwachung und Kompromittierungsprüfung: Überprüfen Sie die ManageEngine-Logs und Web-Server-Protokolle auf verdächtige SAML-Anfragen und ungewöhnliche XSLT-Verarbeitungsaktivitäten. Suchen Sie nach Indicators of Compromise wie unbekannten Prozessen, unautorisierten Benutzerkonten oder verdächtigen ausgehenden Netzwerkverbindungen.
- Langfristige Absicherung: Implementieren Sie eine Web Application Firewall (WAF) vor den ManageEngine-Instanzen mit Regeln zur Erkennung manipulierter SAML-Anfragen. Stellen Sie sicher, dass die ManageEngine-Dienste mit minimalen Systemberechtigungen ausgeführt werden und aktualisieren Sie regelmäßig alle Drittanbieter-Bibliotheken.
Technische Details
CVE-2022-47966 betrifft über 20 On-Premise-Produkte von Zoho ManageEngine und basiert auf einer unzureichenden Eingabevalidierung (CWE-20) in der SAML-SSO-Verarbeitung. Die Ursache liegt in der Verwendung der veralteten Apache Santuario xmlsec-Bibliothek Version 1.4.1, deren XSLT-Features die Verantwortung für Sicherheitsschutzmaßnahmen an die Anwendung delegieren, die ManageEngine-Produkte diese Schutzmaßnahmen jedoch nicht implementiert haben. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H bestätigt, dass die Schwachstelle netzwerkbasiert, mit geringer Komplexität, ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar ist. Ein Angreifer sendet eine speziell präparierte SAML-Antwort mit einer schadhaften XSLT-Transformation an den SAML-SSO-Endpunkt des betroffenen Produkts. Die xmlsec-Bibliothek verarbeitet diese Transformation und führt dabei den eingebetteten Code aus, was zur Remote-Code-Execution im Kontext des ManageEngine-Dienstkontos führt. Voraussetzung ist, dass SAML SSO jemals für das Produkt konfiguriert wurde; bei einigen Produkten muss SAML SSO aktuell aktiv sein.
Häufig gestellte Fragen
Wird CVE-2022-47966 aktiv ausgenutzt?
Ja, CVE-2022-47966 wird aktiv ausgenutzt. Die CISA hat diese Schwachstelle in ihren KEV-Katalog aufgenommen und bestätigt die aktive Ausnutzung in freier Wildbahn. Die Schwachstelle wird nachweislich von Ransomware-Gruppen eingesetzt, und der EPSS-Score von 94,4 % unterstreicht die extrem hohe Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2022-47966 betroffen?
Betroffen sind über 20 On-Premise-Produkte von Zoho ManageEngine, darunter ServiceDesk Plus (vor Version 14004), ADSelfService Plus (vor Version 6211), Endpoint Central (vor Version 10.1.2228.11), Password Manager Pro (vor Version 12124), PAM 360 (vor Version 5713) und viele weitere. Die vollständige Liste und die jeweiligen gepatchten Versionen sind im ManageEngine Security Advisory verfügbar. Die Ausnutzung ist nur möglich, wenn SAML SSO jemals für das betroffene Produkt konfiguriert wurde.
Wie behebe ich CVE-2022-47966?
Aktualisieren Sie alle betroffenen ManageEngine-Produkte auf die jeweiligen gepatchten Versionen gemäß dem ManageEngine Security Advisory. Prüfen Sie alle Installationen, für die SAML SSO jemals konfiguriert wurde, da diese auch ohne aktive SAML-Nutzung verwundbar sein können. Beschränken Sie bis zum Patchen den Netzwerkzugriff auf SAML-Endpunkte.
Wie schwerwiegend ist CVE-2022-47966?
Mit einem CVSS-Score von 9.8 (CRITICAL) nach CVSS v3.1 gehört CVE-2022-47966 zur höchsten Schweregrad-Kategorie. Der EPSS-Score von 94,4 % (99,97. Perzentil) bestätigt die extrem hohe Ausnutzungswahrscheinlichkeit. Die breite Betroffenheit von über 20 Produkten, die unauthentifizierte Ausnutzbarkeit und die bestätigte Verwendung in Ransomware-Kampagnen machen diese Schwachstelle zu einer der kritischsten ManageEngine-Sicherheitslücken.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.