Zoho ManageEngine のリモートコード実行の脆弱性（CVE-2022-28810）

何が起きた

Zoho の ManageEngine ADSelfService Plus に、サーバー上でコマンドを動かされる弱点が見つかり、実際に悪用が確認されています。NVD の説明では、ログイン済みの管理者がカスタムスクリプトの機能を使って、SYSTEM の権限で任意のコマンドを実行できます。また、初期設定の管理者パスワードが使われていると、攻撃者が少ない手間でこの機能を悪用できるおそれがあります。ManageEngine によると、管理者がパスワード同期のカスタムスクリプトを有効にし、パスワードを引数として渡す設定にしていると、ログイン済みの利用者がパスワード欄にコマンドを入力して実行させることができます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

ManageEngine ADSelfService Plus のビルド 6121 以前を使っている組織が影響を受けます。

何をすればいい

ManageEngine の案内に従い、ADSelfService Plus をビルド 6122 以降に更新してください。更新後は、ManageEngine が示すカスタムスクリプトの安全な使い方の案内を確認してください。修正後は、カスタムスクリプトは Scripts フォルダーにある VBScript と PowerShell のファイルだけに限られ、パスワードは引数ではなくエンコードした文字列として渡されます。

やることチェックリスト

• ADSelfService Plus のビルド番号を確認する
• ビルド 6122 以降に更新する
• カスタムスクリプトの設定を見直す

用語メモ

カスタムスクリプト

管理者が決めた処理を自動で動かすために登録する、小さなプログラムです。

SYSTEM

Windows の中でいちばん強い権限を持つ特別なアカウントです。

引数

プログラムを動かすときに一緒に渡す値のことです。