0Day в серверах Zoho активно эксплуатируется в хакерских атаках

0Day в серверах Zoho активно эксплуатируется в хакерских атаках

Уязвимость может использоваться для обхода аутентификации и выполнения вредоносного кода на сервере.

image

Агентство по кибербезопасности и защите инфраструктуры США (CISA) выпустило предупреждение касательно уязвимости нулевого дня в серверах Zoho ManageEngine, которая уже больше недели активно используется в хакерских атаках.

Проблема ( CVE-2021-40539 ) затрагивает решение по управлению паролями и SSO (single sign-on) Zoho ManageEngine ADSelfService Plus производства индийской компании Zoho Corporation. Уязвимость может использоваться для обхода аутентификации через ADSelfService Plus REST API URL и выполнения вредоносного кода на уязвимом сервере. Проблема исправлена в сборке ADSelfService Plus 6114.

По словам аналитика ИБ-компании CrowdStrike Мэтта Даля (Matt Dahl), некоторые свидетельства указывают на то, что атаки могут быть делом рук одной группировки. Пока нет информации о наличии PoC-кода или технических подробностей уязвимости.

Согласно предупреждению Zoho, на компрометацию сервера указывает наличие следующих логов в папке \ManageEngine\ADSelfService Plus\logs:

/RestAPI/LogonCustomization

/RestAPI/Connection

На текущий момент, в Сети доступно более 11 тыс. серверов Zoho ManageEngine.



В нашем телеграм канале мы рассказываем о главных новостях из мира IT, актуальных угрозах и событиях, которые оказывают влияние на обороноспособность стран, бизнес глобальных корпораций и безопасность пользователей по всему миру. Узнай первым как выжить в цифровом кошмаре!