「Zoho ManageEngine ServiceDesk Plus」に深刻な脆弱性 - APT攻撃の対象に

IT資産管理を支援するソフトウェア「Zoho ManageEngine ServiceDesk Plus」に深刻な脆弱性が存在し、10月後半より高度なサイバー攻撃の対象となっていることがわかった。米政府が注意喚起を行っている。

問題とされるのは、同製品の「REST API」処理において、認証なしにファイルのアップロードが可能となり、リモートよりコードを実行されるおそれがある脆弱性「CVE-2021-44077」。「同MSP」「SupportCenter Plus」なども影響を受ける。

米国立標準技術研究所（NIST）の脆弱性データベース「NVD」による共通脆弱性評価システム「CVSSv3.1」では、同脆弱性のベーススコアを「9.8」、重要度を「クリティカル（Critical）」とレーティングしている。

Zohoでは、現地時間9月16日に脆弱性を修正するアップデートを公開。アドバイザリにおいて影響を「クリティカル（Critical）」とし、利用者に注意を呼びかけていた。

ただし、リリース当時は脆弱性に共通識別子などは割り振られておらず、11月20日に「CVE-2021-44077」が採番されている。同社では11月22日にセキュリティアドバイザリをリリース。最新版へ更新し、同脆弱性に対処するようあらためて注意喚起を行った。

（Security NEXT - 2021/12/03 ） ツイート

PR

関連記事

「Apache Tomcat」に脆弱性8件 - 「クリティカル」評価の脆弱性も
Android版「Firefox」に暗号関連の脆弱性 - 修正版が公開
「Splunk Enterprise」に複数の脆弱性 - 修正版が公開
「PHP」脆弱性、2024年に兆候把握も修正難航 - 公開前に混乱
「PHP」に2件の深刻なRCE脆弱性 - アップデートを公開
「Node.js」に脆弱性10件 - Brotli圧縮データの処理でRCEのおそれ
HPEの無線LAN向けOSに多数の脆弱性 - クリティカルが33件
侵入検知エンジン「Snort 3」に複数の脆弱性 - Cisco製品にも影響
Ciscoのビデオ会議製品に深刻な脆弱性 - 修正版が公開
「PHP」の深刻なRCE脆弱性「PHP2Shell」 - 悪用試行を観測