Zoho ManageEngine bis 125140 Support Diagnostics Module getDataCollectionFailureReason pollingObject SQL Injection

EintraganpassenHistoryDiffjsonxmlCTI
CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
6.0$0-$5k0.04

Eine Schwachstelle wurde in Zoho ManageEngine ManageEngine bis 125140 entdeckt. Sie wurde als kritisch eingestuft. Betroffen davon ist die Funktion getDataCollectionFailureReason der Komponente Support Diagnostics Module. Durch Beeinflussen des Arguments pollingObject mit einer unbekannten Eingabe kann eine SQL Injection-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-89. Die Auswirkungen sind bekannt für Vertraulichkeit, Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:

Zoho ManageEngine OpManager before 125437 is vulnerable to SQL Injection in the support diagnostics module. This occurs via the pollingObject parameter of the getDataCollectionFailureReason API.

Die Schwachstelle wurde am 14.10.2021 herausgegeben. Das Advisory findet sich auf manageengine.com. Die Verwundbarkeit wird seit dem 03.09.2021 mit der eindeutigen Identifikation CVE-2021-40493 gehandelt. Sie ist leicht ausnutzbar. Umgesetzt werden kann der Angriff über das Netzwerk. Das Ausnutzen erfordert eine einfache Authentisierung. Zur Schwachstelle sind technische Details bekannt, ein verfügbarer Exploit jedoch nicht.

Ein Aktualisieren auf die Version 125437 oder 125453 vermag dieses Problem zu lösen.

Produktinfoanpassen

Hersteller

Name

CPE 2.3infoanpassen

CPE 2.2infoanpassen

CVSSv3infoanpassen

VulDB Meta Base Score: 6.3
VulDB Meta Temp Score: 6.0

VulDB Base Score: 6.3
VulDB Temp Score: 6.0
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv2infoanpassen

AVACAuCIA
🔍🔍🔍🔍🔍🔍
🔍🔍🔍🔍🔍🔍
🔍🔍🔍🔍🔍🔍
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfoanpassen

Klasse: SQL Injection
CWE: CWE-89
ATT&CK: Unbekannt

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔒
Status: Nicht definiert
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfoanpassen

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfoanpassen

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔒

Upgrade: ManageEngine 125437/125453

Timelineinfoanpassen

03.09.2021 CVE zugewiesen
14.10.2021 +41 Tage Advisory veröffentlicht
14.10.2021 +0 Tage VulDB Eintrag erstellt
20.10.2021 +6 Tage VulDB letzte Aktualisierung

Quelleninfoanpassen

Hersteller: https://www.manageengine.com/

Advisory: manageengine.com
Status: Bestätigt

CVE: CVE-2021-40493 (🔒)

Eintraginfoanpassen

Erstellt: 14.10.2021 08:14
Aktualisierung: 20.10.2021 14:05
Anpassungen: (1) source_cve_nvd_summary
Komplett: 🔍

Kommentare

Bisher keine Kommentare. Sprachen: . Bitte loggen Sie sich ein, um kommentieren zu können.

Might our Artificial Intelligence support you?

Check our Alexa App!