KnowSafe 安全预警：Zoho ManageEngine ADSelfService Plus 远程代码执行漏洞

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2021-40539 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

ZOHO ManageEngine ADSelfService Plus是美国卓豪（ZOHO）公司的针对 Active Directory 和云应用程序的集成式自助密码管理和单点登录解决方案。

Zoho ManageEngine ADSelfService Plus 6113版本及更早版本存在授权问题漏洞，该漏洞源于软件很容易绕过REST API认证，从而导致远程代码执行。

影响范围

应用：zohocorp manageengine_adselfservice_plus（版本 4.5）

应用：zohocorp manageengine_adselfservice_plus（版本 5.0）

应用：zohocorp manageengine_adselfservice_plus（版本 5.0.6）

应用：zohocorp manageengine_adselfservice_plus（版本 5.1）

应用：zohocorp manageengine_adselfservice_plus（版本 5.2）

应用：zohocorp manageengine_adselfservice_plus（版本 5.3）

应用：zohocorp manageengine_adselfservice_plus（版本 5.4）

应用：zohocorp manageengine_adselfservice_plus（版本 5.5）

……另有 5 项受影响环境，详见官方公告

解决方案

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://www.manageengine.com/products/self-service-password/service-pack.html

参考信息

http://packetstormsecurity.com/files/165085/ManageEngine-ADSelfService-Plus-Authentication-Bypass-Code-Execution.html

https://github.com/synacktiv/CVE-2021-40539/blob/main/exploit.py

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-40539

https://www.manageengine.com

https://www.manageengine.com/products/self-service-password/kb/how-to-fix-authentication-bypass-vulnerability-in-REST-API.html

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。