CVEノート

最近の脆弱性 › CVE-2019-8394

Zoho ManageEngine の脆弱性（CVE-2019-8394）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2019-8394
製品Zoho ManageEngine
深刻度（CVSS）6.5 警告CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
KEVへの追加日2021-11-03
米国政府機関の対応期限2022-05-03
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-434

何が起きた

社内の問い合わせ管理に使う Zoho ManageEngine ServiceDesk Plus（SDP）に、ログイン画面のカスタマイズ機能を通じて、任意の（攻撃者が好きに選べる）ファイルをアップロードできてしまう弱点が見つかりました。CISA は、この弱点が実際に悪用されたことを確認しています。NVD の評価では、一般利用者程度の権限を持つ攻撃者がネットワーク経由で悪用できるとされています（NVD の説明文は「remote attackers」と書いています）。

誰が影響を受ける

Zoho ManageEngine ServiceDesk Plus を運用している組織が対象です。NVD の説明では、10.0 build 10012 より前の版が影響を受けます。

何をすればいい

ServiceDesk Plus を 10.0 build 10012 以降に更新されているか確認してください。古い版を使っている場合は、メーカーの公式の案内に従って更新します。

やることチェックリスト

用語メモ

アップロード
手元のファイルをサーバーへ送って置くことです。
カスタマイズ
画面や機能を、使う人の好みや目的に合わせて変えることです。

元データ（英語・CISA KEV より）

Zoho ManageEngine ServiceDesk Plus (SDP) File Upload Vulnerability

概要

Zoho ManageEngine ServiceDesk Plus (SDP) contains an unspecified vulnerability that allows remote users to upload files via login page customization.

推奨対応

Apply updates per vendor instructions.

公式情報