CVE-2022-28810
Zoho ManageEngine ADSelfService Plus Sicherheitslücke zur Remote-Code-Ausführung
- Veröffentlicht
- 18.04.2022
- Aktualisiert
- 21.10.2025
- CNA zuweisen
- mitre
- Beweise beobachtet
- 07.03.2023
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:HHoch · nächste 30 Tage
- Perzentil
- 99,4 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
CISA bekanntermaßen ausgenutzt
Dieses CVE erscheint im CISA-Katalog „Known Exploited Vulnerabilities“.
Zusammenfassung
Zoho ManageEngine ADSelfService Plus vor Build 6122 erlaubt einem remote authentifizierten Administrator, beliebige Betriebssystembefehle als SYSTEM über die Funktion für benutzerdefinierte Skripte von Richtlinien auszuführen. Aufgrund der Verwendung eines Standard-Administratorkennworts können Angreifer diese Funktionalität möglicherweise mit minimalem Aufwand missbrauchen. Darüber hinaus kann ein remote und teilweise authentifizierter Angreifer möglicherweise beliebige Befehle in das benutzerdefinierte Skript einschleusen, da ein Passwortfeld nicht bereinigt wird.
Quellen
modules/exploits/windows/http/manageengine_adselfservice_plus_cve_2022_28810.rb
Metasploit Framework modulesAngegebene Bedingungen
- platform: Windows($.exploit_windows/http/manageengine_adselfservice_plus_cve_2022_28810.platform)
- verification: check_declared($.exploit_windows/http/manageengine_adselfservice_plus_cve_2022_28810.check)
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.