Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-502

CVE-2022-35405

ManageEngine Password Manager Pro ve PAM360'ta kimlik doğrulamasız uzaktan kod çalıştırma

zohocorp Manageengine Access Manager Pluszohocorp Manageengine Pam360zohocorp Manageengine Password Manager Pro

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
17 Haz 2026
Açık yaşı
1562 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 22 Eyl 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 13 Eki 2022.

Yönetici özeti

Kurumsal parolaları ve ayrıcalıklı hesapları saklayan bir ürün, saldırganlar tarafından giriş yapılmadan ele geçirilebiliyor ve açığın aktif olarak istismar edildiği biliniyor. Başarılı bir saldırı, kuruma ait birçok sisteme erişim anahtarlarının çalınmasına yol açabilir. Güncellemenin gecikmeden uygulanması gerekiyor.

ÖzetTürkçe

Zoho ManageEngine Password Manager Pro 12101 öncesi sürümlerde ve PAM360 5510 öncesi sürümlerde kimlik doğrulaması olmadan uzaktan kod çalıştırmaya yol açan bir açık bulunuyor. Zafiyet güvenilmeyen verinin seri durumdan çıkarılmasından (CWE-502) kaynaklanıyor. ManageEngine Access Manager Plus 4303 öncesi sürümler de etkileniyor, ancak bu üründe saldırı için kimlik doğrulaması gerekiyor. Açık CISA'nın bilinen istismar edilen zafiyetler (KEV) listesinde yer alıyor.

Saldırgan ne yapabilir?

Saldırgan ağ üzerinden, kullanıcı etkileşimi olmadan etkilenen sunucuda kendi kodunu çalıştırabilir ve sistemin gizlilik, bütünlük ve erişilebilirliğini tamamen ele geçirebilir. Bu ürünler parola kasası olarak kullanıldığından, saklanan ayrıcalıklı kimlik bilgilerinin ele geçirilmesi riski özellikle yüksektir.

Kaynaktaki açıklama (İngilizce)

Zoho ManageEngine Password Manager Pro before 12101 and PAM360 before 5510 are vulnerable to unauthenticated remote code execution. (This also affects ManageEngine Access Manager Plus before 4303 with authentication.)

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Password Manager Pro'yu 12101 veya üzeri bir sürüme, PAM360'ı 5510 veya üzeri bir sürüme güncelleyin. Genel öneri
  2. Access Manager Plus kullanıyorsanız 4303 veya üzeri bir sürüme yükseltin. Genel öneri
  3. Üretici talimatlarına uygun şekilde güncellemeleri uygulayın. CISA
  4. Güncelleme yapılana kadar ürünün yönetim arayüzüne internetten erişimi kapatın ve yalnızca güvenilir iç ağlardan erişime izin verin. Genel öneri

Ek önlemler

  • Bu ürünlerin yönetim arayüzünü doğrudan internete açmayın; VPN veya IP kısıtlaması kullanın. Genel öneri
  • Sunucuda olağan dışı süreç başlatma, yeni dosya oluşumu ve şüpheli giden bağlantılar için günlükleri inceleyin. Genel öneri
  • Sistemin güncellenmeden önce ele geçirilmiş olabileceğini düşünüyorsanız kasada saklanan parolaları ve anahtarları değiştirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler3 yazılım

YazılımEtkilenenDüzeltildiği sürüm
zohocorp Manageengine Access Manager Plus < 4.3 4.3
4.3 –
zohocorp Manageengine Pam360 < 5.5 5.5
5.5 –
zohocorp Manageengine Password Manager Pro < 12.1 12.1
12.1 –

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Etkilenen sürüm bilgisi güncellendi
  2. Yama ya da düzeltilmiş sürüm çıktı
  3. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  4. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.