关键管理adselfservice plus rce缺陷修补

活动目录密码重置解决方案的ManageEngine AdSelfService Plus中的关键漏洞(CVE-2020-115552)可能允许攻击者远程执行目标Windows主机上的系统级别权限的命令。

CVE-2020-11552

关于Manageengine Adselfservice Plus

管理生命 Adselfservice Plus是由 管理生命是一个专注于基于Web的业务工具和信息技术的软件开发公司Zoho Corporation的部门。

“AdSelfService Plus支持自助服务密码重置 WFH. 和远程用户通过使用户能够从自己的计算机重置Windows密码并通过VPN客户端更新缓存的凭据,” the company touts.

它还支持通过电子邮件,短信和推送通知向远程用户发送密码过期通知;提供管理员,以便为Windows登录强制2因素身份验证;并为用户通过广告的单点登录提供对所有SAML支持的企业应用程序(例如,Office 365,G套件,Salesforce)的安全访问。

关于漏洞(CVE-2020-11552)

出土了 标记 通过Bhadresh Patel,CVE-2020-11552源于无法正确执行与Windows证书对话框相关的用户权限。

ManageEngIneadSelfService加厚客户端软件使用户能够通过在Windows登录屏幕上使用自助服务选项执行密码重置或帐户解锁操作。选择其中一个选项后,将启动客户端软件并连接到远程adselfserviceplus服务器,以促进自助服务操作。

“安全警报可以/将触发‘一个未经身份验证的攻击者,对主机的物理访问发出对客户端的自签名SSLCertificate’. Or, ‘A(默认)在AdSelfService Plus服务器上配置了自签名的SSLCertificate’,” he 著名的.

“‘ViewCertificate’“安全警报”选项将允许具有物理访问的攻击者或具有RDP访问的远程攻击者,以将显示的证书导出到文件。这将进一步级联到标准对话框/向导,该向导将打开文件资源管理器作为系统。通过导航文件资源管理器‘C:\windows\system32\’,Acmd.exe可以作为系统启动。”

Patel还发布了PoC漏洞视频(开发部门在5:30开始):

管理生命修补CVE-2020-11552两次,因为第一个补丁只是部分地修复了问题。建议管理员升级到AdSelfService Plus Build 6003,其中包含完整的安全修复程序。

分享这个