KnowSafe 安全预警：Zoho ManageEngine PasswordManager XML反序列化漏洞（CVE-2022-35405）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2022-35405 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

ZOHO ManageEngine Password Manager Pro是美国卓豪（ZOHO）公司的一款密码管理器。 ZOHO ManageEngine Password Manager Pro 12101 之前版本和PAM360 5510之前版本存在安全漏洞，该漏洞源于容易受到未经身份验证的远程代码执行的攻击。（这也会影响 ManageEngine Access Manager Plus 4303之前版本的身份验证。）

影响范围

应用：zohocorp manageengine_access_manager_plus（影响面 Up to (excluding) 4.3）

应用：zohocorp manageengine_access_manager_plus（版本 4.3）

应用：zohocorp manageengine_pam360（影响面 Up to (excluding) 5.5）

应用：zohocorp manageengine_pam360（版本 5.5）

应用：zohocorp manageengine_password_manager_pro（影响面 Up to (excluding) 12.1）

应用：zohocorp manageengine_password_manager_pro（版本 12.1）

解决方案

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考信息

http://packetstormsecurity.com/files/167918/Zoho-Password-Manager-Pro-XML-RPC-Java-Deserialization.html

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-35405

https://www.manageengine.com/products/passwordmanagerpro/advisory/cve-2022-35405.html

https://xz.aliyun.com/t/11578

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。