ManageEngine mahsulotlarida muhim zaifliklar tuzatildi

ManageEngine mahsulotlarida muhim zaifliklar tuzatildi

Oltita zaiflikdan beshtasi kodni masofadan turib bajarish imkonini beradi.

ManageEngine mahsulotlaridagi xavfsizlik muammolari Fortune 500 kompaniyalari uchun xavf tug’diradi. Zaifliklar Digital Defense tadqiqotchilari tomonidan aniqlandi va ular bu haqda 21-mart, chorshanba kuni xabar berishdi.

Digital Defense kompaniyasining xavfsizlik ogohlantirishiga ko’ra, uchta ManageEngine mahsulotida (Logs360, EventLog Analyzer va Applications Manage) ilgari noma’lum bo’lgan oltita zaiflik aniqlangan. ManageEngine korporativ tarmoq boshqaruv yechimlari butun dunyo bo’ylab 40 000 dan ortiq foydalanuvchiga ega va kompaniya Fortune 500 ro’yxatiga kiruvchi beshta kompaniyadan uchtasini mijoz sifatida hisoblaydi.

Birinchi zaiflik juda muhim va EventLog-ni sozlagan foydalanuvchining imtiyozlari bilan kodni masofadan turib bajarishga imkon beradi. Hujumchi undan maxsus sozlangan zip faylini yuborish orqali POST so’rovi orqali com.adventnet.sa.agent.UploadHandlerServlet sinfiga kirish uchun foydalanishi mumkin. Muammo EventLog Analyzer 11.8 va Logs360 5.3-ga ta’sir qiladi.

Ikkinchi zaiflik Applications Manager dasturining 13-versiyasiga ta’sir qiladi. Bu tajovuzkorga Applications Manager dasturini to’liq buzib kirish va Windows tizimida tizim imtiyozlari bilan ixtiyoriy kodni bajarish imkonini beradi. Muammo shundaki, tajovuzkor com.adventnet.appmanager.servlets.comm.AAMRequestProcessor servletiga /servlet/aam_servercmd manziliga GET yoki POST so’rovlari yordamida autentifikatsiyasiz kirishi mumkin.

Uchinchi zaiflik Applications Manager 13 ga ham ta’sir qiladi va Windowsda tizim imtiyozlari bilan o’zboshimchalik bilan kodni bajarishga imkon beradi. /servlet/SyncEventServlet ga GET yoki POST so’rovlarini yuborish orqali tajovuzkor SyncEventServlet sinfiga kirishi mumkin. Agar dastur ma’muriy server sifatida ishlayotgan bo’lsa, bu yerda «operatsiya» so’rov parametri checkEventSynch bo’lsa, bu parametr tekshirilmagan SQL so’rovlari uchun ishlatilishi mumkin.

To’rtinchi zaiflik Applications Manager 13 ga ham ta’sir qiladi va ma’lumotlarning oshkor bo’lishiga olib keladi. Undan foydalanib, tajovuzkor POST so’rovini yuborishi va FailOverHelperServlet sinfiga autentifikatsiyasiz kirishi mumkin.

Beshinchi zaiflik Applications Manager 13 ga ham ta’sir qiladi va Windows tizimida tizim imtiyozlari bilan kodni o’zboshimchalik bilan bajarishga imkon beradi. GET yoki POST so’rovlarini yuborish orqali tajovuzkor MenuHandlerServlet servletiga autentifikatsiyasiz kirishi mumkin.

Oltinchi zaiflik Applications Manager’ga ta’sir qiladi va Windows’da tizim imtiyozlari bilan kodni o‘zboshimchalik bilan bajarishga imkon beradi. Hujumchi /servlet/OPMRequestHandlerServlet’ga GET so‘rovini yuborishi mumkin, bu yerda “OPERATION_TYPE” parametri “APM_API_KEY_REQUEST” va “USERNAME” parametri istalgan qonuniy foydalanuvchiga o‘rnatilgan. Bu holda, hujumchi tomonidan olingan javobda foydalanuvchining API kaliti bo‘ladi.

ManageEngine yuqorida tavsiflangan zaifliklarni allaqachon tuzatgan. Yangilanishni ishlab chiqaruvchining rasmiy veb-saytidan yuklab olish mumkin.