Zoho ManageEngine のリモートコード実行の脆弱性（CVE-2022-35405）

何が起きた

Zoho のパスワード管理製品 ManageEngine Password Manager Pro、PAM360、Access Manager Plus に、外からコードを実行されてしまう弱点が見つかりました。受け取ったデータを元に戻す処理に問題があるとされています（デシリアライゼーションの問題）。実際の悪用が確認されています。NVDの評価では、ネットワーク経由で、ログインなしの攻撃者が悪用できます。ただし Access Manager Plus では、悪用にログインが必要とされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

ManageEngine の Password Manager Pro、PAM360、Access Manager Plus を使っている組織が対象です。Zoho の情報では、Password Manager Pro は 12100 以前、PAM360 は 5500 以前、Access Manager Plus は 4302 以前が影響を受けます。

何をすればいい

Zoho の案内に従い、Password Manager Pro は 12101 以降、PAM360 は 5510 以降、Access Manager Plus は 4303 以降に更新されているか確認してください。公式の案内を確認し、手順に従って更新してください。

やることチェックリスト

• Password Manager Pro を 12101 以降に更新する
• PAM360 を 5510 以降に更新する
• Access Manager Plus を 4303 以降に更新する

用語メモ

デシリアライゼーション 用語集で見る

保存や送信のために変換したデータを、元のプログラムのデータに戻す処理です。細工したデータを戻すと、意図しない動作につながることがあります。

パスワード管理製品

組織の大事なパスワードやアカウントをまとめて安全に保管・管理するための製品です。