Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「ManageEngine」24製品に深刻な脆弱性 - 悪用容易、アップデートを

Zohoは、今回判明した「CVE-2022-47966」についてバグバウンティプログラムを通じての報告を受けたものと説明。

CVE番号は2022年12月26日採番されているが、2022年10月後半から11月前半にかけてリリースしたアップデートでサードパーティ製モジュールを更新し、24製品における脆弱性を解消したとしている。

同脆弱性について解析したHorizon3.aiは、同脆弱性の再現に成功。容易に悪用が可能であるとの見方を示した。

現段階でシングルサインオンを使用していない場合も、一部製品は過去に利用したことがあれば影響を受けることから、脆弱性の悪用を確実に防ぐため、アップデートを行うよう注意を呼びかけた。また一部製品に関して、ログファイルより侵害の有無が確認できる方法を紹介している。

「CVE-2022-47966」の影響を受けるManageEngine製品は以下のとおり。

ADAudit Plus
ADManager Plus
ADSelfService Plus
Access Manager Plus
Active Directory 360
Analytics Plus
Application Control Plus
Asset Explorer
Browser Security Plus
Device Control Plus
Endpoint Central
Endpoint Central MSP
Endpoint DLP
Key Manager Plus
OS Deployer
PAM 360
Password Manager Pro
Patch Manager Plus
Remote Access Plus
Remote Monitoring and Management(RMM)
ServiceDesk Plus
ServiceDesk Plus MSP
SupportCenter Plus
Vulnerability Manager Plus

(Security NEXT - 2023/01/18 ) このエントリーをはてなブックマークに追加

PR

関連記事

メール送信時の人為ミスで関係者のアドレス流出 - 日本財団学生ボランティアセンター
ワークフロー管理の「Apache DolphinScheduler」に脆弱性
SonicWall「SMA 100シリーズ」の多要素認証機能に脆弱性
一部SonicWall製ファイアウォールの「SSL VPN機能」に脆弱性 - 認証バイパスのおそれ
Atlassian、「Confluence」など複数製品にセキュリティアップデート
GitLabが2月2度目のアップデート、脆弱性やバグに対応
ランサムリークサイト、年間約4000件の投稿 - 身代金支払うも約2割で反古
ランサムウェア被害のイズミ、完全復旧目標は5月1日
イズミ、ランサム被害で宅配など一部サービスを停止 - 新店舗オープンを延期
サイクリングイベント申込フォームでミス、個人情報が流出 - 倉敷市