Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

IT管理製品「ManageEngine」に二要素認証回避の脆弱性 - 最新版へ更新を

Zohoが展開するIT管理ソリューションブランド「ManageEngine」の複数製品に深刻な脆弱性「CVE-2023-35785」が明らかとなった。アップデートにて修正済みだという。

「CVE-2023-35785」は、二要素認証をバイパスすることが可能となる脆弱性。バグ報奨金プログラムを通じて報告されたという。悪用されると被害者のアカウントを乗っ取られるおそれがある。「ADManager Plus」「ServiceDesk Plus」「M365 Manager Plus」「ADManager Plus」をはじめ、17製品が影響を受ける。

同社は脆弱性の重要度を「高(High)」と評価。各製品に対して6月後半に修正バージョンをリリース済みで、利用者に対して最新ビルドへ更新することを強く推奨している。

米国立標準技術研究所(NIST)の脆弱性データベース「NVD」では、8月28日に同脆弱性を追加した。共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度を「クリティカル(Critical)」とレーティングしている。

対象となる製品は以下のとおり。ただし、クラウドサービスについては影響を受けない。

Active Directory 360
ADAudit Plus
ADManager Plus
Asset Explorer
Cloud Security Plus
Data Security Plus
Eventlog Analyzer
Exchange Reporter Plus
Log360
Log360 UEBA
M365 Manager Plus
M365 Security Plus
Recovery Manager Plus
ServiceDesk Plus
ServiceDesk Plus MSP
SharePoint Manager Plus
Support Center Plus

(Security NEXT - 2023/09/07 ) このエントリーをはてなブックマークに追加

PR

関連記事

あらたな脅威へ対応する設定ファイルが原因に - CrowdStrike障害
Windows端末の障害問題に便乗するサイバー攻撃が発生中
CrowdStrike、Windows環境での不具合で声明 - 復旧方法も紹介
一部Window端末が正常に起動できず - CrowdStrikeが不具合認める
システムの仕様を知らずメール誤送信が発生 - 東京都福祉保健財団
市教委で特別支援教育就学奨励費対象児童の一部名簿を紛失 - 湖西市
Cisco、セキュリティアドバイザリ9件を公開 - 「Blast-RADIUS」の影響も
書類が車両走行中に散乱、一部未回収 - 明治国際医療大
職員がサポート詐欺被害、被害端末内に個人情報 - 吉田町
メールシステムで設定ミス、当初ベンダーも原因特定できず - 上智大