CVE-2021-37415とは？Zoho ManageEngine ServiceDesk Plus (SDP)の脆弱性をわかりやすく解説

ひとことでManageEngine ServiceDesk Plus で、ログインなしで一部の API が使えてしまう弱点
深刻度9.8 緊急CVSS v3.1
まずやることServiceDesk Plus のビルド番号を確かめる

基本情報（データから表示）

CVE番号	CVE-2021-37415
製品	Zoho ManageEngine ServiceDesk Plus (SDP)
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2021-12-01
米国政府機関の対応期限	2021-12-15
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-306（重要な機能での認証の欠如）

何が起きた

Zoho の ManageEngine ServiceDesk Plus に、本来はログインが必要な一部の REST API の URL を、ログインなしで使えてしまう弱点（認証の回避）が見つかり、実際に悪用が確認されています。NVD の評価では、攻撃者はネットワーク経由で、ログインも利用者の操作もなしに悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

ManageEngine ServiceDesk Plus を自社のサーバーで動かしている組織が対象です。NVD の説明では、11302 より前のビルドが影響を受けます。

何をすればいい

ManageEngine の更新情報では、2021年7月21日に公開されたビルド 11302 でこの弱点が直されています。今使っているビルドが 11302 以降に更新されているか確認してください。あわせて、ManageEngine の公式の案内を確認してください。

やることチェックリスト

ServiceDesk Plus のビルド番号を確かめる
ビルド 11302 以降に更新する
古いビルドのサーバーが残っていないか調べる

用語メモ

REST API 用語集で見る: プログラムどうしが、決まった URL を通してデータをやり取りするための仕組みです。
認証の回避用語集で見る: 本来必要なログインなどの本人確認を、すり抜けられてしまうことです。
ビルド用語集で見る: ソフトウェアの版を細かく区別するための番号です。

次に読む

同じ製品・メーカーの脆弱性Zoho ManageEngine（CVE-2022-28810）6.8 警告CVSS v3.1ManageEngine ADSelfService Plus で、パスワード欄からコマンドを動かされる弱点同じ製品・メーカーの脆弱性Zoho ManageEngine（CVE-2022-47966）9.8 緊急CVSS v3.1Zoho ManageEngine の多くの製品で、古い部品が原因でログインなしにコードを実行される弱点基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Zoho ManageEngine ServiceDesk Authentication Bypass Vulnerability

概要

Zoho ManageEngine ServiceDesk Plus before 11302 is vulnerable to authentication bypass that allows a few REST-API URLs without authentication

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Zoho ManageEngine ServiceDesk Plus (SDP) の認証回避の脆弱性（CVE-2021-37415）