- Aktif istismar
- CWE-78
- CWE-259
- CWE-798
CVE-2022-28810
Zoho ManageEngine ADSelfService Plus'ta Uzaktan Kod Çalıştırma Açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 1654 gün
- Kaydı açan
- mitre
ÖzetTürkçe
Zoho ManageEngine ADSelfService Plus, build 6122 öncesi sürümlerde, uzaktan kimlik doğrulaması yapılmış bir yöneticinin politika özel betik özelliği aracılığıyla SYSTEM olarak keyfi işletim sistemi komutları çalıştırmasına izin veriyor. Varsayılan bir yönetici parolasının kullanılması nedeniyle saldırganlar bu işlevselliği minimum çabayla kötüye kullanabilir. Ek olarak, uzaktan ve kısmen kimlik doğrulaması yapılmış bir saldırgan, temizlenmemiş bir parola alanı nedeniyle özel betiğe keyfi komutlar enjekte edebilir.
Kaynaktaki açıklama (İngilizce)
Zoho ManageEngine ADSelfService Plus before build 6122 allows a remote authenticated administrator to execute arbitrary operating OS commands as SYSTEM via the policy custom script feature. Due to the use of a default administrator password, attackers may be able to abuse this functionality with minimal effort. Additionally, a remote and partially authenticated attacker may be able to inject arbitrary commands into the custom script due to an unsanitized password field.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Zoho ManageEngine | Sürüm belirtilmemiş | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- manageengine.com/…s/self-service-password/kb/cve-2022-28810.html Diğer
- packetstormsecurity.com/…DSelfService-Plus-Custom-Script-Execution.html Diğer
- github.com/rapid7/metasploit-framework/pull/16475 Diğer
- rapid7.com/…ice-plus-authenticated-command-execution-fixed Diğer
- manageengine.com/…-service-password/advisory/CVE-2022-28810.html Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.