CVE-2022-28810 Zoho ManageEngine ADSelfService Plus远程命令执行漏洞

2022继续卷Zoho！前期公众号分享的Zoho系列漏洞如下：

认证绕过新姿势之Zoho ManageEngine Desktop Central CVE-2021-44515

QCyber，公众号：且听安全【最新漏洞预警】认证绕过新姿势之Zoho ManageEngine Desktop Central CVE-2021-44515

CVE-2021-41081-通过逆向推理快速分析Zoho ManageEngine NCM SQL注入漏洞

QCyber，公众号：且听安全【最新漏洞预警】CVE-2021-41081-通过逆向推理快速分析Zoho ManageEngine NCM SQL注入漏洞

CVE-2021-44077 Zoho ManageEngine ServiceDesk Plus RCE漏洞

QCyber，公众号：且听安全【最新漏洞预警】CVE-2021-44077 Zoho ManageEngine ServiceDesk Plus RCE漏洞

Zoho ManageEngine Admanager Plus 任意文件上传漏洞可GetShell

QCyber，公众号：且听安全【最新漏洞预警】Zoho ManageEngine Admanager Plus 任意文件上传漏洞可GetShell

Zoho ManageEngine ADSelfService Plus如何从bypass到RCE

QCyber，公众号：且听安全CVE-2021-40539-Zoho ManageEngine ADSelfService Plus如何从bypass到RCE

如何绕过反序列化漏洞补丁-Zoho ManageEngine OpManager

QCyber，公众号：且听安全CVE-2020-28653-如何绕过反序列化漏洞补丁-Zoho ManageEngine OpManager

漏洞信息

ManageEngine ADSelfService产品在6112版本中修补了CVE-2022-28810命令执行漏洞，管理员可通过自定义脚本，当进行域用户密码同步时实现命令执行。漏洞描述如下：

功能点分析

首先部署Windows AD，然后安装6121版本软件，登录浏览器后软件会自动识别域：

进入配置 / 策略配置 / 可用的策略，点击设置：

可在`后续动作`中执行特定动作：

代码分析

`ChangePasswordServlet`定义了`changeDomainUserPassword`函数用于修改域用户密码：

`ChangePasswordHandler.changePassword`函数首先检查License授权状态和域策略，通过后执行`changePassword`检查，成功后执行`postAction`：

`postAction`中调用`DChangePassword`：

在`ADChangePassword`中调用`CustomScript.runCustomScript`：

最后是`runCustomScript`，该函数没有对参数进行检查，导致命令执行产生：

漏洞复现

添加密码同步策略，使用域用户登录后重置密码：

经过策略检查后，进入`postAction`执行：

获取执行脚本`customScript`：

最后执行`runCustomScript`，并在服务器中执行命令：

修复方式

漏洞修补后，新版本必须通过本地脚本文件执行，脚本必须由管理员提前放到操作系统硬盘上。此外脚本参数通过Base64传入，以下是新版本界面：

从代码上来看，`CustomScript`在执行脚本时进行了安全检查：

由于传播、利用此文档提供的信息而造成任何直接或间接的后果及损害，均由使用本人负责，且听安全团队及文章作者不为此承担任何责任。

点关注，不迷路！

原文始发于微信公众号（且听安全）：CVE-2022-28810 Zoho ManageEngine ADSelfService Plus远程命令执行漏洞