Zoho ManageEngine のリモートコード実行の脆弱性（CVE-2022-47966）

何が起きた

Zoho ManageEngine の自社設置型の多くの製品に、古い部品 Apache Santuario（xmlsec 1.4.1）を使っていたことが原因で、ログインしていない攻撃者に任意のコードを実行される弱点が見つかりました。悪用できるのは、その製品で SAML によるシングルサインオンを設定したことがある場合です（製品によっては、今も有効になっている場合だけ）。ネットワーク経由で離れた場所から悪用でき、実際に悪用が確認されており、ランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

ServiceDesk Plus、ADSelfService Plus、Endpoint Central、Password Manager Pro など、ManageEngine の自社設置型の製品を使っている組織が対象です。例えば ServiceDesk Plus は 14003 以前、ADSelfService Plus は 6210 以前、Endpoint Central は 10.1.2228.10 以前が影響を受けます。ManageEngine のクラウド版の製品は影響を受けません。

何をすればいい

使っている製品の修正版に更新されているか確認してください。例えば ServiceDesk Plus は 14004、ADSelfService Plus は 6211、Endpoint Central は 10.1.2228.11、Password Manager Pro は 12124 が修正版です。そのほかの製品の修正版は、公式の案内（ManageEngine の勧告）の一覧で確認してください。

やることチェックリスト

• SAML のシングルサインオンを設定したことがあるか調べる
• ServiceDesk Plus は14004以降に更新する
• 他の製品も勧告の一覧の修正版に更新する

用語メモ

SAML

一度のログインで複数のサービスを使えるようにするため、ログイン情報をやり取りする決まりごとのことです。

シングルサインオン

一度ログインするだけで、複数のシステムやサービスを使えるようにする仕組みのことです。

ランサムウェア

データを暗号化して使えなくし、元に戻す代わりにお金を要求する悪質なプログラムのことです。