NVD / CVE Program· CNA mitre

CVE-2014-6039: ManageEngine EventLog Analyzer version 7 through 9.9 build 9002 has a Credentials Disclosure Vulnerability.

ВысокаяCVSS 7.5 · v3.1—Готовый эксплойт Исправление не зафиксировано

Оценка Noroxi

Приоритет: На этой неделе (оценка срочности 60/100)

Опубликован готовый модуль атаки (Metasploit); для эксплуатации не нужна особая квалификация.
Есть готовый инструмент атаки, а уязвимость эксплуатируется по сети без учётной записи, поэтому приоритет не ниже «На этой неделе».
Вероятность эксплуатации в ближайшие 30 дней: 68,7% (FIRST EPSS); выше, чем у 99,3% записей.
Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
Согласно записи, исправленной версии пока нет.

Не ждите следующего окна обслуживания. До выхода исправления ограничьте доступ к затронутому компоненту и следите за бюллетенем производителя.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

ManageEngine EventLog Analyzer version 7 through 9.9 build 9002 has a Credentials Disclosure Vulnerability. Fixed version 10 Build 10000.

Опубликовано: 13 янв. 2020 г.
Обновлено: 16 июн. 2026 г.
EPSS: 68,7 % · 99-й процентиль
CWE: CWE-522

Инструменты для отчёта

JSON

Оценка срочности

На этой неделе

Не ждите следующего окна обслуживания.

CVSS: 30 / 40 · 7.5 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 21 / 30 · 68,7 %
Готовый инструмент атаки: 9 / 60 · нижняя граница: не меньше 60

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Есть боевой эксплойт
Исправленной версии пока нет

Если что-то из этого изменится, сообщим в ежедневной сводке.

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
zohocorp	manageengine eventlog analyzer	cpe:2.3:a:zohocorp:manageengine_eventlog_analyzer

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

zohocorp manageengine eventlog analyzer7.0 и новее · до 9.9 включительно

Тот же продукт

zohocorp: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2014-6038Zoho ManageEngine EventLog Analyzer versions 7 through 9.9 build 9002 have a database Information Disclosure Vulnerability.
60На этой неделе
CVE-2014-6037Directory traversal vulnerability in the agentUpload servlet in ZOHO ManageEngine EventLog Analyzer 9.0 build 9002 and 8.2 build 8020…
55В плане
CVE-2015-7387ZOHO ManageEngine EventLog Analyzer 10.6 build 10060 and earlier allows remote attackers to bypass intended restrictions and execute…
54В плане

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2018-100762 июл. 2018 г. · An issue was discovered in Zoho ManageEngine EventLog Analyzer 11.12.
24Наблюдать
← РаньшеCVE-2019-1977413 дек. 2019 г. · An issue was discovered in Zoho ManageEngine EventLog Analyzer 10.0 SP1 before Build 12110.
39Наблюдать
Позже →CVE-2021-2895930 апр. 2021 г. · Zoho ManageEngine Eventlog Analyzer through 12147 is vulnerable to unauthenticated directory traversal via an entry in a ZIP archive.
44В плане

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Для этой записи не зафиксирована версия с исправлением. Смотрите бюллетени вендора в источниках.

Статус эксплойта

Готовый эксплойт

Известен готовый инструмент или активное использование в реальных атаках. Это должно быть высшим приоритетом.

Доказательство

Модуль Metasploit ×1
Запись Exploit-DB ×1

Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.

Публичные свидетельства эксплойта
Источник	Тип	Дата
Запись Exploit-DB	webapps	2014-11-05
Модуль Metasploit	auxiliary/gather/eventlog_cred_disclosureManageEngine Eventlog Analyzer Managed Hosts Administrator Credential Disclosureauxiliary	2014-11-05

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Первый PoC5 нояб. 2014 г.-1895 дн.
Metasploit5 нояб. 2014 г.-1895 дн.
Публикация13 янв. 2020 г.
Сегодня13 нояб. 2026 г.+2497 дн.

В записи нет: истории EPSS · ссылки на коммит или PR с исправлением · указания авторов находки · кандидатов в варианты и цепочки · публичной программы вознаграждений.