漏洞名称 :
ManageEngine ServiceDesk Plus XSS漏洞CVE-2021-20080
ManageEngine ServiceDesk Plus远程代码执行漏洞CVE-2021-20081
组件名称 :ManageEngine ServiceDesk Plus
安全公告链接 :
https://www.manageengine.com/products/service-desk/on-premises/readme.html#11205
漏洞分析
1 组件介绍
ZOHO ManageEngine ServiceDesk Plus (SDP)是一款基于Web的IT帮助台软件,基于ITIL框架集成了资产和项目管理功能。
2 漏洞简介
2021年8月19日,深信服安全团队监测到一则ZOHO ManageEngine ServiceDesk Plus官方发布安全更新的通告,共修复了2个中危安全漏洞。
序号 |
漏洞名 |
|
影响版本 |
严重 等级 |
1 |
ManageEngine ServiceDesk Plus XSS漏洞 |
CVE-2021-20080 |
ManageEngine ServiceDesk Plus < 11200 ManageEngine AssetExplorer < 6800 |
中危 |
2 |
ManageEngine ServiceDesk Plus 远程代码执行漏洞 |
CVE-2021-20081 |
ManageEngine ServiceDesk Plus < 11205 |
中危 |
3 漏洞描述
漏洞1:ManageEngine ServiceDesk Plus XSS漏洞 CVE-2021-20080
该漏洞输出过滤不严格,攻击者可利用该漏洞在未授权限的情况下,构造恶意数据执行存储型跨站点脚本攻击,最终可造成服务器敏感性信息泄露。
漏洞2:ManageEngine ServiceDesk Plus 远程代码执行漏洞 CVE-2021-20081
该漏洞输入参数没有严格限制,攻击者可利用该漏洞在获得权限的情况下,构造恶意数据执行远程代码执行攻击,最终可获取服务器最高权限。
影响范围
可能受漏洞影响的资产广泛分布于世界各地,主要集中在南非、美国、智利、中国等国家。国内主要分布在广东、上海、湖北等省市。
目前受影响的ManageEngine版本:
CVE-2021-20080:
ManageEngine ServiceDesk Plus < 11200
ManageEngine AssetExplorer < 6800
CVE-2021-20081:
ManageEngine ServiceDesk Plus < 11205
解决方案
1 官方修复建议
当前官方已发布最新版本,建议受影响的用户及时更新升级到最新版本。链接如下:
https://www.manageengine.com/products/service-desk/on-premises/readme.html#11205
2 深信服解决方案
【深信服下一代防火墙AF】预计2021年8月24日,可防御CVE-2021-20080、CVE-2021-20081, 建议用户将深信服下一代防火墙开启 IPS 防护策略,并更新最新安全防护规则,即可轻松抵御此高危风险。
【深信服安全感知平台SIP】预计2021年8月24日,结合云端实时热点高危/紧急漏洞信息,可快速检出业务场景下的CVE-2021-20080、CVE-2021-20081,并可联动【深信服下一代防火墙AF】等产品实现对攻击者IP的封堵。
时间轴
2021/8/19 深信服监测到ManageEngine官方发布安全更新公告。
2021/8/20 深信服千里目安全实验室发布漏洞通告、解决方案。
点击阅读原文,及时关注并登录深信服智安全平台,可轻松查询漏洞相关解决方案。
深信服科技旗下安全实验室,致力于网络安全攻防技术的研究和积累,深度洞察未知网络安全威胁,解读前沿安全技术。
● 扫码关注我们
本文始发于微信公众号(深信服千里目安全实验室):【安全公告】ManageEngine ServiceDesk Plus 多个漏洞通告
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论