Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-20

CVE-2022-47966

Zoho ManageEngine ürünlerinde SAML SSO üzerinden uzaktan kod çalıştırma açığı

zohocorp Manageengine Access Manager Pluszohocorp Manageengine Ad360zohocorp Manageengine Adaudit Plus

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
31 Tem 2026
Açık yaşı
1379 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 23 Oca 2023 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 13 Şub 2023. Fidye yazılımı saldırılarında da kullanılmış.

Yönetici özeti

Kurumda kullanılan ManageEngine yönetim araçları, dışarıdan kimlik doğrulaması olmadan ele geçirilebilir. Bu araçlar genellikle kritik sistemlere ve şifrelere erişimi olduğundan saldırı tüm ağa yayılabilir. Açık aktif olarak istismar edildiği için güncellemeler acilen uygulanmalıdır.

ÖzetTürkçe

Birçok Zoho ManageEngine şirket içi (on-premise) ürünü, Apache Santuario xmlsec (XML Security for Java) 1.4.1 sürümünü kullandığı için uzaktan kod çalıştırmaya açıktır. Bu sürümde XSLT özellikleri gereği bazı güvenlik korumalarını uygulama sağlamak zorundadır, ancak ManageEngine uygulamaları bu korumaları sağlamamaktadır. Etkilenen ürünler arasında ServiceDesk Plus (14004 öncesi), ADSelfService Plus (6211 öncesi), Endpoint Central (10.1.2228.11 öncesi), Password Manager Pro (12124 öncesi) ve PAM 360 (5713 öncesi) bulunur. Sömürü yalnızca ürün için SAML SSO daha önce yapılandırılmışsa mümkündür; bazı ürünlerde SAML SSO'nun halen etkin olması gerekir.

Saldırgan ne yapabilir?

Kimliği doğrulanmamış bir saldırıcı ağ üzerinden etkilenen sunucuda kod çalıştırarak sistemin gizlilik, bütünlük ve erişilebilirliğini tamamen ele geçirebilir. Açık CISA KEV listesinde yer almaktadır, yani aktif olarak istismar edilmektedir.

Kaynaktaki açıklama (İngilizce)

Multiple Zoho ManageEngine on-premise products, such as ServiceDesk Plus through 14003, allow remote code execution due to use of Apache Santuario xmlsec (aka XML Security for Java) 1.4.1, because the xmlsec XSLT features, by design in that version, make the application responsible for certain security protections, and the ManageEngine applications did not provide those protections. This affects Access Manager Plus before 4308, Active Directory 360 before 4310, ADAudit Plus before 7081, ADManager Plus before 7162, ADSelfService Plus before 6211, Analytics Plus before 5150, Application Control Plus before 10.1.2220.18, Asset Explorer before 6983, Browser Security Plus before 11.1.2238.6, Device Control Plus before 10.1.2220.18, Endpoint Central before 10.1.2228.11, Endpoint Central MSP before 10.1.2228.11, Endpoint DLP before 10.1.2137.6, Key Manager Plus before 6401, OS Deployer before 1.1.2243.1, PAM 360 before 5713, Password Manager Pro before 12124, Patch Manager Plus before 10.1.2220.18, Remote Access Plus before 10.1.2228.11, Remote Monitoring and Management (RMM) before 10.1.41. ServiceDesk Plus before 14004, ServiceDesk Plus MSP before 13001, SupportCenter Plus before 11026, and Vulnerability Manager Plus before 10.1.2220.18. Exploitation is only possible if SAML SSO has ever been configured for a product (for some products, exploitation requires that SAML SSO is currently active).

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Kullandığınız ManageEngine ürününü, üreticinin yayımladığı düzeltilmiş sürüme güncelleyin (örneğin ServiceDesk Plus için 14004 veya üzeri, ADSelfService Plus için 6211 veya üzeri, Endpoint Central için 10.1.2228.11 veya üzeri, Password Manager Pro için 12124 veya üzeri). Genel öneri
  2. Etkilenen diğer ürünlerde de ilgili düzeltilmiş sürüm numarasına yükseltme yapın; sürüm listesi için üreticinin duyurusuna bakın. Genel öneri
  3. Üretici talimatlarına uygun şekilde güncellemeleri uygulayın. CISA
  4. Güncelleme yapılana kadar SAML SSO yapılandırmasını devre dışı bırakın ve ürün arayüzünün internetten erişimini kısıtlayın. Genel öneri

Ek önlemler

  • ManageEngine ürünlerini internete doğrudan açmayın; erişimi VPN veya IP kısıtlamasıyla yalnızca yönetim ağına sınırlayın. Genel öneri
  • SAML SSO'nun daha önce yapılandırılıp yapılandırılmadığını kontrol edin; açık geçmişte yapılandırılmış olması bile sömürüye yeterli olabilir. Genel öneri
  • Sunucularda şüpheli süreçleri, yeni oluşturulmuş hesapları ve olağan dışı giden bağlantıları inceleyin; güncelleme öncesinde ele geçirilme ihtimaline karşı derinlemesine analiz yapın. Genel öneri
  • Bu ürünlerin sakladığı parola ve kimlik bilgilerini, ele geçirilme şüphesi varsa değiştirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler22 yazılım

YazılımEtkilenenDüzeltildiği sürüm
zohocorp Manageengine Access Manager Plus < 4.3 4.3
4.3 –
zohocorp Manageengine Ad360 < 4.3 4.3
4.3 –
zohocorp Manageengine Adaudit Plus < 7.0 7.0
7.0 –
zohocorp Manageengine Admanager Plus < 7.1 7.1
7.1 –
zohocorp Manageengine Adselfservice Plus < 6.2 6.2
6.2 –
zohocorp Manageengine Analytics Plus < 5.1 5.1
5.1 –

ve 22 satır daha

Kaynaklar13 kaynak

Kayıt geçmişi

  1. Etkilenen sürüm bilgisi güncellendi
  2. Yama ya da düzeltilmiş sürüm çıktı
  3. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  4. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.