The DataEngine Xnode Server application in Zoho ManageEngine DataSecurity Plus prior to 6.0.1 does not validate the database schema name whe

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• zohocorp manageengine adaudit plusдо 6.0.1
• zohocorp manageengine datasecurity plusдо 6.0.1

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2022-28219Cewolf in Zoho ManageEngine ADAudit Plus before 7060 is vulnerable to an unauthenticated XXE attack that leads to Remote Code Execution.
  68На этой неделе
• CVE-2020-11532Zoho ManageEngine DataSecurity Plus prior to 6.0.1 uses default admin credentials to communicate with a DataEngine Xnode server.
  62На этой неделе
• CVE-2021-42847Zoho ManageEngine ADAudit Plus before 7006 allows attackers to write to, and execute, arbitrary files.
  60На этой неделе

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2018-1046629 мая 2018 г. · Zoho ManageEngine ADAudit Plus before 5.0.0 build 5100 allows blind SQL Injection.
  44В плане
• ← РаньшеCVE-2018-1911813 дек. 2018 г. · Zoho ManageEngine ADAudit before 5.1 build 5120 allows remote attackers to cause a denial of service (stack-based buffer overflow) via the '
  32Наблюдать
• Позже →CVE-2022-249785 апр. 2022 г. · Zoho ManageEngine ADAudit Plus before 7055 allows authenticated Privilege Escalation on Integrated products.
  35Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Имя файла, переданное пользователем, объединяется с разрешённым каталогом, но не проверяется, остаётся ли результат внутри этого каталога.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const file = path.join(ROOT, req.query.name);2res.sendFile(file);

1const file = path.resolve(ROOT, req.query.name);2if (!file.startsWith(ROOT + path.sep)) {3  return res.sendStatus(400);4}5res.sendFile(file);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.