Zoho ManageEngine の認証回避の脆弱性（CVE-2021-40539）

何が起きた

Zoho ManageEngine ADSelfService Plus の REST API で、ログインの確認（認証）をすり抜けられる弱点が見つかりました。すり抜けた結果、攻撃者が遠隔から好きなプログラムを動かせる（リモートコード実行）おそれがあります。この弱点は実際の攻撃で悪用されたことが確認されており、CISA によるとランサムウェアでの悪用も知られています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

ADSelfService Plus を使っている組織が対象です。メーカーの案内では、影響を受けるのはビルド 6113 までで、NVD の説明でも version 6113 以前とされています。

何をすればいい

メーカーの案内に従い、サービスパックでビルド 6114 以降に更新されているか確認してください。メーカーは、検出ツール、アクセスログ、特定のファイルの3つの方法で、侵入されていないかを確かめるよう案内しています。侵入されていた場合は、対象の機器をネットワークから切り離し、データベースをバックアップしてから機器を初期化して入れ直すなどの手順が示されています。あわせて ManageEngine の公式の案内を確認してください。

やることチェックリスト

• ADSelfService Plus をビルド 6114 以降に更新する
• メーカーの検出ツールで侵入の痕跡を確かめる
• 侵入されていたら機器をネットワークから切り離す

用語メモ

REST API

ほかのプログラムから、決まった形式の URL を通して機能を呼び出せるようにした仕組みです。

認証

利用者が本人かどうかを、パスワードなどで確かめることです。

リモートコード実行

離れた場所から、攻撃者が選んだプログラムを相手の機器で動かすことです。

ランサムウェア

データを暗号化して使えなくし、元に戻すことと引き換えにお金を要求する不正なプログラムです。