據(jù)消息，Zoho ManageEngine Desktop Central和Desktop Central MSP平臺(tái)存在的一個(gè)嚴(yán)重的安全漏洞可能會(huì)允許攻擊者繞過平臺(tái)的身份認(rèn)證。

根據(jù)該公司周一發(fā)布的安全公告，該漏洞(CVE-2021-44757)可能會(huì)允許遠(yuǎn)程用戶在服務(wù)器中執(zhí)行未經(jīng)授權(quán)的操作。如果該漏洞被利用，那么這個(gè)漏洞可能會(huì)允許攻擊者在服務(wù)器上讀取未經(jīng)授權(quán)的數(shù)據(jù)或?qū)懭肴我獾?ZIP文件。

Zoho的ManageEngine Desktop Central是一個(gè)統(tǒng)一的端點(diǎn)管理(UEM)解決方案，可以讓IT管理員在一個(gè)平臺(tái)管理服務(wù)器、筆記本電腦、臺(tái)式機(jī)、智能手機(jī)和平板電腦等設(shè)備。根據(jù)該公司的文件，用戶可以自動(dòng)進(jìn)行安裝補(bǔ)丁、部署軟件和部署操作系統(tǒng)等常規(guī)工作。它還可以用來(lái)管理資產(chǎn)和軟件許可證，監(jiān)控軟件的統(tǒng)計(jì)數(shù)據(jù)，管理USB設(shè)備的使用，控制遠(yuǎn)程桌面等。

在移動(dòng)設(shè)備方面，用戶可以部署配置文件和相關(guān)策略，為Wi-Fi、VPN、電子郵件賬戶等配置設(shè)備。對(duì)應(yīng)用程序安裝、相機(jī)使用和瀏覽器進(jìn)行限制，用密碼和遠(yuǎn)程鎖定以及擦除功能來(lái)管理設(shè)備的安全。

因此，該平臺(tái)提供了對(duì)組織內(nèi)設(shè)備的訪問權(quán)限，在攻擊者利用該漏洞的情況下，可能會(huì)導(dǎo)致嚴(yán)重的信息泄露事件。此外，由于該漏洞允許安裝.ZIP文件，所以這也就為攻擊者在Desktop Central實(shí)例管理的所有端點(diǎn)上安裝惡意軟件提供了可能。

就MSP版本而言，它允許管理服務(wù)提供商(MSP)向他們自己的客戶提供端點(diǎn)管理，同時(shí)該漏洞可用于供應(yīng)鏈攻擊。網(wǎng)絡(luò)犯罪分子可以很輕松地破壞一個(gè)MSP的Desktop Central MSP版軟件，并很有可能獲得對(duì)使用該版本管理軟件的客戶的訪問權(quán)限。

Zoho ManageEngine公司周一發(fā)布了一個(gè)產(chǎn)品條目，詳細(xì)說(shuō)明了該漏洞對(duì)應(yīng)補(bǔ)丁的情況，鼓勵(lì)用戶更新到最新版本來(lái)保護(hù)自己的數(shù)據(jù)安全。該公司還在產(chǎn)品文章中對(duì)Desktop Central環(huán)境的一般加固提供了思路。

Zoho ManageEngine: 受到0 day攻擊的青睞

該公司并沒有說(shuō)該漏洞是否已經(jīng)作為0 day漏洞受到了犯罪分子的攻擊。但可以肯定的是，如果網(wǎng)絡(luò)攻擊者還沒有開始針對(duì)該漏洞進(jìn)行利用的話，鑒于ManageEngine平臺(tái)的全能性，它一定會(huì)是一個(gè)很受攻擊者青睞的平臺(tái)。

例如，在9月份，安全專家對(duì)Zoho ManageEngine ADSelfService Plus平臺(tái)的一個(gè)嚴(yán)重的安全漏洞(CVE-2021-40539)打上了補(bǔ)丁，它可以讓遠(yuǎn)程攻擊者繞過認(rèn)證，在用戶的活動(dòng)目錄(AD)和云賬戶上進(jìn)行操作。但根據(jù)網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局(CISA)的說(shuō)法，在修復(fù)之前，它就已經(jīng)受到了大量的網(wǎng)絡(luò)攻擊。

12月，在發(fā)現(xiàn)Zoho ManageEngine0 day漏洞受到高級(jí)持續(xù)性威脅(APT)組織的主動(dòng)攻擊后，聯(lián)邦調(diào)查局甚至還發(fā)出了官方警報(bào)。該漏洞(CVE-2021-44515)可以讓遠(yuǎn)程攻擊者運(yùn)行ManageEngine Desktop Central的服務(wù)器的功能，并且進(jìn)行權(quán)限提升操作。其最終目的是將惡意軟件投放到組織的網(wǎng)絡(luò)中。

本文翻譯自：https://threatpost.com/critical-manageengine-desktop-server-bug-malware/177705/如若轉(zhuǎn)載，請(qǐng)注明原文地址。