Zoho ManageEngine の安全でないデシリアライズの脆弱性（CVE-2020-10189）

何が起きた

社内のパソコンをまとめて管理する Zoho ManageEngine Desktop Central（現在の名前は Endpoint Central）に、外から送られたデータを安全か確かめずに読み込んでしまう弱点が見つかりました。ManageEngine によると、攻撃者は任意のコード（攻撃者が好きに選べるプログラム）を実行でき、悪用にログインは必要ありません。NVD の評価でも、ネットワーク経由で、ログイン不要の攻撃者が、利用者の操作なしに悪用できます。CISA によると、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

ManageEngine Desktop Central（Endpoint Central）を使っている組織が対象です。NVD の説明では、10.0.474 より前のバージョンが影響を受けるとされています。ManageEngine によると、Secure Gateway Server はこの問題の影響を受けません。

何をすればいい

ManageEngine は、ビルド 10.0.474 で応急の修正を、ビルド 10.0.479 で完全な修正を出しており、10.0.479 以降への更新を求めています。すぐに更新できない場合は、ManageEngine の公式の案内にある手順で、web.xml から MDMLogUploaderServlet と CewolfServlet の設定を取り除き、サービスを再起動してください。この手順のあとは、モバイル端末からログをアップロードできなくなります。

やることチェックリスト

• ビルドを 10.0.479 以降に更新する
• 更新できなければ web.xml から該当の設定を外す
• 設定を外したらサービスを再起動する

用語メモ

ビルド

ソフトの細かい版を表す番号のことです。

任意のコード

攻撃者が好きに選んで実行させるプログラムのことです。

web.xml

Java で作られたウェブのソフトで、どの機能を動かすかを決める設定ファイルです。