Multiple Zoho ManageEngine on-premise products, such as ServiceDesk Plus through 14003, allow remote code execution due to use of Apache San
Multiple Zoho ManageEngine on-premise products, such as ServiceDesk Plus through 14003, allow remote code execution due to use of Apache Santuario xmlsec (aka XML Security for Java) 1.4.1, because the xmlsec XSLT features, by design in that version, make the application responsible for certain security protections, and the ManageEngine applications did not provide those protections. This affects Access Manager Plus before 4308, Active Directory 360 before 4310, ADAudit Plus before 7081, ADManager Plus before 7162, ADSelfService Plus before 6211, Analytics Plus before 5150, Application Control Plus before 10.1.2220.18, Asset Explorer before 6983, Browser Security Plus before 11.1.2238.6, Device Control Plus before 10.1.2220.18, Endpoint Central before 10.1.2228.11, Endpoint Central MSP before 10.1.2228.11, Endpoint DLP before 10.1.2137.6, Key Manager Plus before 6401, OS Deployer before 1.1.2243.1, PAM 360 before 5713, Password Manager Pro before 12124, Patch Manager Plus before 10.1.2220.18, Remote Access Plus before 10.1.2228.11, Remote Monitoring and Management (RMM) before 10.1.41. ServiceDesk Plus before 14004, ServiceDesk Plus MSP before 13001, SupportCenter Plus before 11026, and Vulnerability Manager Plus before 10.1.2220.18. Exploitation is only possible if SAML SSO has ever been configured for a product (for some products, exploitation requires that SAML SSO is currently active).
- Yayın
- 18 Oca 2023
- Güncelleme
- 31 Tem 2026
- EPSS
- %99,8 · 100. yüzdelik
- CWE
- CWE-20
Takip etmek için giriş yap · Takip ettiğin kayıt KEV’e girer, istismarı çıkar ya da güncellenirse bildirim alırsın.
Rapor araçları
Aksiyon skoru
99
Hemen
Bugün yamayın ya da erişimi kapatın.
- CVSS
- 39 / 40 · 9.8 / 10
- CISA KEV
- 30 / 30 · Listede
- EPSS
- 30 / 30 · %99,8
CISA SSVC kararı
- Sömürü
- aktif
- Otomatikleştirilebilir
- evet
- Teknik etki
- tam
Vulnrichment: CISA'nın karar ağacı girdileri.
Sahada aktif sömürülüyor
CISA bu zafiyeti 23 Oca 2023 tarihinde fiilen sömürülen zafiyetler kataloğuna (KEV) ekledi. Bu, teoriyi değil, gerçek saldırıları işaret eder.
Kamu kurumları için son yama tarihi: 13 Şub 2023.
Fidye yazılımı kampanyalarında kullanıldığı biliniyor.
Etkilenen sistemler
| Üretici | Ürün | CPE |
|---|---|---|
| zohocorp | manageengine access manager plus | cpe:2.3:a:zohocorp:manageengine_access_manager_plus |
| zohocorp | manageengine ad360 | cpe:2.3:a:zohocorp:manageengine_ad360 |
| zohocorp | manageengine adaudit plus | cpe:2.3:a:zohocorp:manageengine_adaudit_plus |
| zohocorp | manageengine admanager plus | cpe:2.3:a:zohocorp:manageengine_admanager_plus |
| zohocorp | manageengine adselfservice plus | cpe:2.3:a:zohocorp:manageengine_adselfservice_plus |
| zohocorp | manageengine analytics plus | cpe:2.3:a:zohocorp:manageengine_analytics_plus |
| zohocorp | manageengine assetexplorer | cpe:2.3:a:zohocorp:manageengine_assetexplorer |
| zohocorp | manageengine key manager plus | cpe:2.3:a:zohocorp:manageengine_key_manager_plus |
| zohocorp | manageengine pam360 | cpe:2.3:a:zohocorp:manageengine_pam360 |
| zohocorp | manageengine password manager pro | cpe:2.3:a:zohocorp:manageengine_password_manager_pro |
| zohocorp | manageengine servicedesk plus | cpe:2.3:a:zohocorp:manageengine_servicedesk_plus |
| zohocorp | manageengine servicedesk plus msp | cpe:2.3:a:zohocorp:manageengine_servicedesk_plus_msp |
ve 10 kayıt daha
Etkilenen sürümler
NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.
- zohocorp manageengine access manager plus4.3 öncesi
- zohocorp manageengine access manager plus4.3
- zohocorp manageengine ad3604.3 öncesi
- zohocorp manageengine ad3604.3
- zohocorp manageengine adaudit plus7.0 öncesi
- zohocorp manageengine adaudit plus7.0
- zohocorp manageengine admanager plus7.1 öncesi
- zohocorp manageengine admanager plus7.1
- zohocorp manageengine adselfservice plus6.2 öncesi
- zohocorp manageengine adselfservice plus6.2
- zohocorp manageengine analytics plus5.1 öncesi
- zohocorp manageengine analytics plus5.1
- zohocorp manageengine application control plus10.1.2220.18 öncesi
- zohocorp manageengine assetexplorer6.9 öncesi
- zohocorp manageengine assetexplorer6.9
- zohocorp manageengine browser security plus11.1.2238.6 öncesi
- zohocorp manageengine device control plus10.1.2220.18 öncesi
- zohocorp manageengine endpoint dlp plus10.1.2137.6 öncesi
- zohocorp manageengine key manager plus6.4 öncesi
- zohocorp manageengine key manager plus6.4
Aynı üründe
zohocorp: tüm kayıtlarAynı birincil ürünün en yüksek skorlu diğer kayıtları.
- CVE-2022-35405Zoho ManageEngine Password Manager Pro before 12101 and PAM360 before 5510 are vulnerable to unauthenticated remote code execution.KEV99Hemen
- CVE-2022-40300Zoho ManageEngine Password Manager Pro through 12120 before 12121, PAM360 through 5550 before 5600, and Access Manager Plus through 4304 bef69Bu hafta
- CVE-2022-29081Zoho ManageEngine Access Manager Plus before 4302, Password Manager Pro before 12007, and PAM360 before 5401 are vulnerable to access-contro64Bu hafta
- CVE-2022-43671Zoho ManageEngine Password Manager Pro before 12122, PAM360 before 5711, and Access Manager Plus before 4306 allow SQL Injection.61Bu hafta
- CVE-2022-43672Zoho ManageEngine Password Manager Pro before 12122, PAM360 before 5711, and Access Manager Plus before 4306 allow SQL Injection (in a diffe59Planlayın
- CVE-2021-44676Zoho ManageEngine Access Manager Plus before 4203 allows anyone to view a few data elements (e.g., access control details) and modify a few 40Planlayın
Düzeltme
Hangi sürüme geçmeli
Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.
Bu kayıt için kayıtlı bir düzeltme sürümü yok. Üretici bildirimleri için referanslara bakın.
İstismar durumu
Silahlaştırılmış
Bu zafiyet için hazır bir istismar aracı ya da sahada aktif kullanım biliniyor. Önceliğiniz en üst düzeyde olmalı.
Kanıt
- Metasploit modülü ×3
- Nuclei tespit şablonu ×1
- GitHub’da kavram kanıtı deposu ×5
Noroxi istismar kodu barındırmaz ve istismar bağlantısı vermez. Metasploit modül adı ve Nuclei şablon kimliği gösterilir (kod değil, ad); Exploit-DB kayıtları ve PoC depoları yalnızca sayı olarak verilir.
| Kaynak | Tür | Tarih |
|---|---|---|
| Metasploit modülü | exploit/multi/http/manageengine_adselfservice_plus_saml_rce_cve_2022_47966ManageEngine ADSelfService Plus Unauthenticated SAML RCEexploit | 2023-01-10 |
| Metasploit modülü | exploit/multi/http/manageengine_servicedesk_plus_saml_rce_cve_2022_47966ManageEngine ServiceDesk Plus Unauthenticated SAML RCEexploit | 2023-01-10 |
| Metasploit modülü | exploit/windows/http/manageengine_endpoint_central_saml_rce_cve_2022_47966ManageEngine Endpoint Central Unauthenticated SAML RCEexploit | 2023-01-10 |
| Nuclei tespit şablonu | Nuclei şablonu CVE-2022-47966 | — |
| GitHub’da kavram kanıtı deposu | stars:130 | 2023-01-17 |
| GitHub’da kavram kanıtı deposu | stars:0 | 2023-01-19 |
| GitHub’da kavram kanıtı deposu | stars:7 | 2023-01-23 |
| GitHub’da kavram kanıtı deposu | stars:2 | 2023-01-23 |
| GitHub’da kavram kanıtı deposu | stars:28 | 2023-01-23 |
Araştırma bağlamı
Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.
Zaman çizelgesi
Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.
- Metasploit-9 gün
- İlk kavram kanıtı-2 gün
- Yayın
- CISA KEV+4 gün
- Bugün29 Eyl 2026+1350 gün
FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).
Yama ve commit bağlantıları
Referanslardaki commit, PR ve diff adresleri. Patch-diff ve varyant avı için başlangıç noktası; istismar değil, düzeltmedir.
Referanslarda commit ya da PR bağlantısı yok.
Kredi
Tüm araştırmacılarCNA kaydında adı geçen bulan, bildiren ve analistler. Ada tıkla, aynı araştırmacının diğer kayıtlarını gör.
CNA kaydında kredi yok.
Varyant adayları
Aynı üründe aynı zafiyet sınıfı, 18 ay içinde. Yama kök nedeni kapatmadıysa kardeş hata burada olur.
Gece hesaplanan ilişki yok.
Zincir adayları
Aynı üründe kimlik doğrulama atlatma ile yetki isteyen bir açık kısa aralıkla yayımlanmış: birlikte kimlik doğrulamasız bir yola dönüşebilir.
—
Bug bounty kapsamı
Bilinen herkese açık program yok.
Kaynak: bounty-targets-data (HackerOne, Bugcrowd, Intigriti, YesWeHack herkese açık listeleri).
Teknik detay
Saldırı koşulları
- İnternetten erişebilen herkes tetikleyebilir.
- Hesap ya da parola gerekmez.
- Kullanıcının bir şey yapması gerekmez.
- Özel bir koşul gerekmez; tekrarlanabilir.
Başarılı olursa
- Gizlilik
- yüksek · veriler okunabilir
- Bütünlük
- yüksek · veri ya da yapılandırma değiştirilebilir
- Erişilebilirlik
- yüksek · hizmet durdurulabilir
- Saldırı vektörü
- Ağ
- Karmaşıklık
- Düşük
- Gereken yetki
- Yok
- Kullanıcı etkileşimi
- Gerekmez
- Kapsam
- Değişmez
- Gizlilik etkisi
- Yüksek
- Bütünlük etkisi
- Yüksek
- Erişilebilirlik etkisi
- Yüksek
Zayıflık sınıfı (CWE)
CWE-20 · Improper Input ValidationCVSS vektörü
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
nvd-primary
Saldırı bağlamı
Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.
Saldırı desenleri (CAPEC)
- Buffer Overflow via Environment VariablesCAPEC-10olasılık: High · High
- Server Side Include (SSI) InjectionCAPEC-101olasılık: High · High
- Cross Zone ScriptingCAPEC-104olasılık: Medium · High
- Command Line Execution through SQL InjectionCAPEC-108olasılık: Low · Very High
- Object Relational Mapping InjectionCAPEC-109olasılık: Low · High
- SQL Injection through SOAP Parameter TamperingCAPEC-110olasılık: High · Very High
- Double EncodingCAPEC-120olasılık: Low · Medium
- Subverting Environment Variable ValuesCAPEC-13olasılık: High · Very High
ATT&CK teknikleri
- Obfuscated Files or InformationT1027
- Masquerading: Invalid Code SignatureT1036.001
- Steal Web Session CookieT1539
- Subvert Trust Controls: Code SigningT1553.002
- Impair Defenses:Impair Command History LoggingT1562.003
- Hijack Execution Flow:Dynamic Linker HijackingT1574.006
- Hijack Execution Flow:Path Interception by PATH Environment VariableT1574.007
Noroxi analizi
Bu kayıt için henüz Noroxi analizi yok
385 binden fazla zafiyetin tamamına elle analiz yazmıyoruz; bu dürüst olmazdı. Öne çıkan ve sahada etkisi olan zafiyetler için mekanizma, tespit ve kapatma adımlarını ekibimiz yazıyor.
Bu ürünü kullanıyoruz, yardım isteyinDeğişiklik günlüğü
Bu kayıtta izlenen alanlarda henüz değişiklik kaydı yok. Skor, KEV, istismar olgunluğu ve düzeltme durumu değiştiğinde burada görünür.
Referanslar
- github.com/apache/santuario-xml-security-java/tags?after=1.4.6
- github.com/horizon3ai/CVE-2022-47966
- www.cisa.gov/news-events/cybersecurity-advisories/aa23-250a
- www.manageengine.com/security/advisory/CVE/cve-2022-47966.html
- www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-47966
Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.