【安全公告】ManageEngine ServiceDesk Plus 多个漏洞通告

admin 2021年9月4日10:55:15评论100 views字数 1703阅读5分40秒阅读模式


漏洞名称 :

ManageEngine ServiceDesk Plus XSS漏洞CVE-2021-20080

ManageEngine ServiceDesk Plus远程代码执行漏洞CVE-2021-20081

组件名称 :ManageEngine ServiceDesk Plus 

安全公告链接

https://www.manageengine.com/products/service-desk/on-premises/readme.html#11205


漏洞分析


组件介绍

    ZOHO ManageEngine ServiceDesk Plus (SDP)是一款基于Web的IT帮助台软件,基于ITIL框架集成了资产和项目管理功能。


2 漏洞简介

    2021年8月19日,深信服安全团队监测到一则ZOHO ManageEngine ServiceDesk Plus官方发布安全更新的通告,共修复了2个中危安全漏洞。

序号

漏洞名

漏洞编号

影响版本

严重

等级

1

ManageEngine ServiceDesk Plus XSS漏洞

CVE-2021-20080

ManageEngine ServiceDesk Plus < 11200

ManageEngine AssetExplorer < 6800

中危

2

ManageEngine ServiceDesk Plus 远程代码执行漏洞

CVE-2021-20081

ManageEngine 

ServiceDesk Plus < 11205

中危


3 漏洞描述

漏洞1:ManageEngine ServiceDesk Plus XSS漏洞 CVE-2021-20080

    该漏洞输出过滤不严格,攻击者可利用该漏洞在未授权限的情况下,构造恶意数据执行存储型跨站点脚本攻击,最终可造成服务器敏感性信息泄露。


漏洞2:ManageEngine ServiceDesk Plus 远程代码执行漏洞 CVE-2021-20081

    该漏洞输入参数没有严格限制,攻击者可利用该漏洞在获得权限的情况下,构造恶意数据执行远程代码执行攻击,最终可获取服务器最高权限。


影响范围


    可能受漏洞影响的资产广泛分布于世界各地,主要集中在南非、美国、智利、中国等国家。国内主要分布在广东、上海、湖北等省市。

    目前受影响的ManageEngine版本:

CVE-2021-20080:

ManageEngine ServiceDesk Plus < 11200

ManageEngine AssetExplorer < 6800

CVE-2021-20081:

ManageEngine ServiceDesk Plus < 11205


解决方案


1 官方修复建议

    当前官方已发布最新版本,建议受影响的用户及时更新升级到最新版本。链接如下:

https://www.manageengine.com/products/service-desk/on-premises/readme.html#11205


深信服解决方案

深信服下一代防火墙AF】预计2021年8月24日,可防御CVE-2021-20080、CVE-2021-20081, 建议用户将深信服下一代防火墙开启 IPS 防护策略,并更新最新安全防护规则,即可轻松抵御此高危风险。

深信服安全感知平台SIP】预计2021年8月24日,结合云端实时热点高危/紧急漏洞信息,可快速检出业务场景下的CVE-2021-20080、CVE-2021-20081,并可联动【深信服下一代防火墙AF】等产品实现对攻击者IP的封堵。



时间轴


2021/8/19    深信服监测到ManageEngine官方发布安全更新公告。

2021/8/20    深信服千里目安全实验室发布漏洞通告、解决方案。


点击阅读原文,及时关注并登录深信服智安全平台,可轻松查询漏洞相关解决方案。

【安全公告】ManageEngine ServiceDesk Plus 多个漏洞通告


深信服千里目安全实验室

【安全公告】ManageEngine ServiceDesk Plus 多个漏洞通告

深信服科技旗下安全实验室,致力于网络安全攻防技术的研究和积累,深度洞察未知网络安全威胁,解读前沿安全技术。

● 扫码关注我们



本文始发于微信公众号(深信服千里目安全实验室):【安全公告】ManageEngine ServiceDesk Plus 多个漏洞通告

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2021年9月4日10:55:15
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【安全公告】ManageEngine ServiceDesk Plus 多个漏洞通告http://cn-sec.com/archives/466532.html

发表评论

匿名网友 填写信息