0Day в серверах Zoho активно эксплуатируется в хакерских атаках
Уязвимость может использоваться для обхода аутентификации и выполнения вредоносного кода на сервере.
Агентство по кибербезопасности и защите инфраструктуры США (CISA) выпустило предупреждение касательно уязвимости нулевого дня в серверах Zoho ManageEngine, которая уже больше недели активно используется в хакерских атаках.
Проблема ( CVE-2021-40539 ) затрагивает решение по управлению паролями и SSO (single sign-on) Zoho ManageEngine ADSelfService Plus производства индийской компании Zoho Corporation. Уязвимость может использоваться для обхода аутентификации через ADSelfService Plus REST API URL и выполнения вредоносного кода на уязвимом сервере. Проблема исправлена в сборке ADSelfService Plus 6114.
По словам аналитика ИБ-компании CrowdStrike Мэтта Даля (Matt Dahl), некоторые свидетельства указывают на то, что атаки могут быть делом рук одной группировки. Пока нет информации о наличии PoC-кода или технических подробностей уязвимости.
Согласно предупреждению Zoho, на компрометацию сервера указывает наличие следующих логов в папке \ManageEngine\ADSelfService Plus\logs:
/RestAPI/LogonCustomization
/RestAPI/Connection
На текущий момент, в Сети доступно более 11 тыс. серверов Zoho ManageEngine.
Цифровые следы - ваша слабость, и хакеры это знают.