CVE-2022-47966
Zoho ManageEngine Sicherheitslücke mit Remote Code Execution in mehreren Produkten
- Veröffentlicht
- 18.01.2023
- Aktualisiert
- 31.07.2026
- CNA zuweisen
- mitre
- Beweise beobachtet
- 23.01.2023
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HHoch · nächste 30 Tage
- Perzentil
- 100,0 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
CISA bekanntermaßen ausgenutzt
Dieses CVE erscheint im CISA-Katalog „Known Exploited Vulnerabilities“.
Zusammenfassung
Mehrere On-Premise-Produkte von Zoho ManageEngine, wie ServiceDesk Plus bis einschließlich 14003, ermöglichen Remote-Codeausführung, weil Apache Santuario xmlsec (auch bekannt als XML Security for Java) in der Version 1.4.1 verwendet wird. Die XSLT-Funktionen von xmlsec machen in dieser Version die Anwendung konstruktionsbedingt für bestimmte Sicherheitsmaßnahmen verantwortlich, und die ManageEngine-Anwendungen stellten diese Maßnahmen nicht bereit. Dies betrifft Access Manager Plus vor 4308, Active Directory 360 vor 4310, ADAudit Plus vor 7081, ADManager Plus vor 7162, ADSelfService Plus vor 6211, Analytics Plus vor 5150, Application Control Plus vor 10.1.2220.18, Asset Explorer vor 6983, Browser Security Plus vor 11.1.2238.6, Device Control Plus vor 10.1.2220.18, Endpoint Central vor 10.1.2228.11, Endpoint Central MSP vor 10.1.2228.11, Endpoint DLP vor 10.1.2137.6, Key Manager Plus vor 6401, OS Deployer vor 1.1.2243.1, PAM 360 vor 5713, Password Manager Pro vor 12124, Patch Manager Plus vor 10.1.2220.18, Remote Access Plus vor 10.1.2228.11, Remote Monitoring and Management (RMM) vor 10.1.41, ServiceDesk Plus vor 14004, ServiceDesk Plus MSP vor 13001, SupportCenter Plus vor 11026 und Vulnerability Manager Plus vor 10.1.2220.18. Eine Ausnutzung ist nur möglich, wenn SAML SSO jemals für ein Produkt konfiguriert wurde (bei einigen Produkten ist für die Ausnutzung erforderlich, dass SAML SSO derzeit aktiv ist).
Quellen
modules/exploits/multi/http/manageengine_adselfservice_plus_saml_rce_cve_2022_47966.rb
Metasploit Framework modulesAngegebene Bedingungen
- platform: Windows($.exploit_multi/http/manageengine_adselfservice_plus_saml_rce_cve_2022_47966.platform)
- verification: check_declared($.exploit_multi/http/manageengine_adselfservice_plus_saml_rce_cve_2022_47966.check)
modules/exploits/multi/http/manageengine_servicedesk_plus_saml_rce_cve_2022_47966.rb
Metasploit Framework modulesAngegebene Bedingungen
- platform: Java,Linux,Unix,Windows($.exploit_multi/http/manageengine_servicedesk_plus_saml_rce_cve_2022_47966.platform)
- verification: check_declared($.exploit_multi/http/manageengine_servicedesk_plus_saml_rce_cve_2022_47966.check)
modules/exploits/windows/http/manageengine_endpoint_central_saml_rce_cve_2022_47966.rb
Metasploit Framework modulesAngegebene Bedingungen
- platform: Java,Windows($.exploit_windows/http/manageengine_endpoint_central_saml_rce_cve_2022_47966.platform)
- verification: check_declared($.exploit_windows/http/manageengine_endpoint_central_saml_rce_cve_2022_47966.check)
http/cves/2022/CVE-2022-47966.yaml
Nuclei TemplatesAngegebene Bedingungen
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
- oob: interactsh_reference($.template_text)
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.