En las compilaciones afectadas, el ticket SSO es simplemente System.currentTimeMillis() (una marca de tiempo predecible) muestreada en el inicio de sesión de la víctima, por lo que puede reproducirse mediante la cookie CUSTOM_SSO_TICKET para secuestrar esa sesión. La corrección reemplaza el ticket con UUID.randomUUID() (un identificador suficientemente aleatorio). La ruta de reproducción solo es alcanzable cuando el producto está integrado con AD360: ADSFilter la condiciona con isProductIntegrated(). Esa condición es la precondición que esta herramienta comprueba.

NOTA: este detector confirma la precondición, no la vulnerabilidad en sí. Un resultado POTENTIALLY_AFFECTED no es un veredicto de vulnerable confirmado; consulte más abajo para más información.

¿Es seguro ejecutarlo?

Sí. Está diseñado para uso en producción y en evaluaciones.

• No se explota nada. La sonda envía un ticket SSO no válido (1700000000000, un valor en milisegundos lo suficientemente lejano en el pasado como para que nunca pueda estar en caché), por lo que nunca se recupera ninguna sesión. El servidor solo nos indica que borremos las cookies que enviamos.
• No hay cambios de estado en el objetivo. Cada solicitud es un GET simple, y las únicas cookies afectadas son las desechables que envía la herramienta.
• No hay fuerza bruta ni resolución de sesiones. La herramienta no intenta la resolución activa de tickets por marca de tiempo que probaría la explotabilidad; eso es explotación más que detección, y queda fuera del alcance aquí (consulte Limitaciones).

Lo que esto puede y no puede decirle

El parche de CVE-2026-11374 solo cambió la forma en que se genera el ticket (milisegundos a UUID); no cambió la ruta de reproducción de cookies que esta sonda ejercita. Como resultado, una instalación parcheada responde byte por byte de manera idéntica a una vulnerable para cualquier solicitud no autenticada.

Lo que la herramienta puede hacer, sin autenticación y de forma no destructiva:

• Confirmar que un producto dentro del alcance y alcanzable tiene activa la ruta de reproducción de cookies CustomSSO (es decir, está integrado con AD360), que es la precondición de explotación de CVE-2026-11374.
• Identificar cuál de los cuatro productos es, a partir de la cookie de sesión específica de cada producto.
• Hacer una lectura de mejor esfuerzo del número de compilación del activo como pista. Esto está disponible en ADSelfService Plus, ADAudit Plus y M365 Manager Plus; no está disponible en RecoveryManager Plus.

Lo que no puede hacer:

• Distinguir vulnerable de parcheado. No existe una señal segura, pasiva y no autenticada para ello. Un resultado POTENTIALLY_AFFECTED significa que la precondición se cumple y que debe verificar el nivel de parche, no que el host esté confirmado como vulnerable.
• Confirmar la explotabilidad. Demostrar que un host es realmente explotable requiere observar el formato de un ticket emitido (un número de 13 dígitos es vulnerable, un UUID está parcheado; ambos requieren visibilidad autenticada o en el propio host), leer conf/product.conf localmente, o resolver activamente un ticket en vivo (explotación real, intencionalmente no implementada aquí).
• Confiar plenamente en un número de compilación de ADSelfService Plus inferior a la corregida. El ?build= de ADSSP a veces es la compilación real y a veces un marcador congelado que lee por debajo de la compilación corregida, por lo que un valor inferior al corregido es ambiguo y la herramienta lo marca como no concluyente. Un valor igual o superior a la compilación corregida sigue siendo una señal confiable de parcheado, ya que el marcador siempre es demasiado bajo para alcanzarlo.

Requisitos

• Python 3.7+ y la biblioteca requests. Instale con pip install requests.

Uso

Los puertos predeterminados difieren según el producto (ADSelfService Plus 8888, ADAudit Plus 8081, M365 Manager Plus 8365, RecoveryManager Plus 8090), así que pase una URL o host:puerto. Un host sin puerto usa 8888 por defecto.

Opciones

Ejemplos

Una consola integrada con AD360 (verboso, el predeterminado). La segunda línea aclara que esto es la precondición y no un veredicto de vulnerable; la tercera es la pista de compilación de mejor esfuerzo:

Una instalación independiente del mismo producto, donde la ruta de reproducción no está activa:

Escaneo de una lista con una línea alineada por host (--brief). El estado de salida es 1 si algún host es POTENTIALLY_AFFECTED; de lo contrario 0, lo cual es útil en scripts. La nota final muestra el producto identificado, además del número de compilación en un hallazgo:

Salida legible por máquina (--json). Cada resultado incluye el verdict, el state y detail que lo respaldan, el product identificado y, en un hallazgo, un objeto build: build es el número encontrado, fixed_build el umbral para ese producto, patch_hint la llamada direccional (likely_patched si es igual o superior a la compilación corregida, de lo contrario inconclusive), y note una breve explicación:

Veredictos

Códigos de salida

Cómo funciona

Envíe un ticket no válido más una etiqueta de aplicación a cualquier URL CustomSSO (*.do):

En una instalación integrada con AD360, la cadena ADSFilter → CustomSSOFilter → CookieSSOImpl ejecuta su rama de resolución (la etiqueta nombra un producto diferente, por lo que appName != prodName), falla al resolver el ticket falso y emite encabezados de respuesta de limpieza de cookies:

Una instalación independiente nunca ejecuta esa ruta y no emite limpieza. El producto se identifica por su cookie de sesión Tomcat fija específica del producto (JSESSIONIDADSSP para ADSelfService Plus, y así sucesivamente), que se establece en cada respuesta. La comprobación se basa en los encabezados y no en el código de estado, ya que un ADSSP integrado devuelve un 302 mientras que ADAudit, M365 y RMP devuelven 200 ante la misma sonda.

Limitaciones

• POTENTIALLY_AFFECTED no es "vulnerable confirmado". Es la precondición de explotación. Debido a que el parche no tocó esta ruta de código, una compilación parcheada responde de manera idéntica, por lo que debe confirmar el nivel de parche fuera de banda (consulte los siguientes pasos). Ese es el techo de lo que un observador no autenticado puede saber.
• Sin confirmación activa. La herramienta nunca intenta resolver un ticket real con la hora actual. Esa técnica puede probar positivamente que un host es vulnerable, pero es explotación activa (secuestra una sesión en vivo), está limitada por throttling y es probabilística, y necesita una sesión de víctima activa, por lo que queda excluida de este detector.
• HTTP 400 puede ser un bloqueo por límite de velocidad en lugar de una respuesta real. Zoho IAM aplica un throttling rotatorio de URL que limita una IP de origen a alrededor de 40 solicitudes por 60 s, y luego bloquea esa ruta durante ~60 s. Durante un bloqueo, las solicitudes devuelven HTTP 400 y la señal de integración queda enmascarada. La herramienta las reporta como INCONCLUSIVE; reintente desde esa IP después de aproximadamente un minuto.
• Detrás de un proxy inverso, una consola que elimina o reescribe la cookie de sesión puede ser reportada incorrectamente como UNAFFECTED. Confirme directamente si espera un producto ManageEngine allí.
• Los números de compilación son pistas, no veredictos. ADAudit (?v=) y M365 (?bN=) siempre exponen la compilación real; el ?build= de ADSSP a veces es real y a veces un marcador congelado que lee por debajo de la compilación corregida, por lo que un valor de ADSSP inferior al corregido es ambiguo; RMP no expone ninguno. En todos los casos, una compilación igual o superior a la corregida indica fuertemente que está parcheado, y por debajo de ella es no concluyente.

Siguientes pasos para defensores

Si un objetivo devuelve POTENTIALLY_AFFECTED, trátelo como expuesto y digno de confirmación, luego:

1. Confirme el nivel de parche directamente (la herramienta no puede). Lea conf/product.conf (build_number) en el host y compárelo con la compilación corregida para ese producto (ADSelfService Plus 6529, RecoveryManager Plus 6321, M365 Manager Plus 4817, ADAudit Plus 8703). Interprételo direccionalmente: una compilación igual o superior a la corregida es un fuerte indicador de que el host está parcheado, ya que la corrección UUID está en ese árbol. Una compilación por debajo de la corregida es no concluyente más que prueba de vulnerabilidad, porque hotfixes fuera de banda y backports pueden aplicar la corrección UUID sin aumentar el número de compilación; en ese caso, recurra a la verificación del formato del ticket a continuación.

2. Verifique el formato del ticket emitido si puede iniciar sesión. La cookie CUSTOM_SSO_TICKET no es HttpOnly, por lo que después de autenticarse puede leer su valor: un número de 13 dígitos significa vulnerable, un UUID significa parcheado. Esta es la verificación positiva más clara.

3. Actualice a la compilación corregida (o posterior) en cualquier host que sea vulnerable o que no pueda confirmar como parcheado. La corrección reemplaza el ticket predecible con un UUID aleatorio.

4. Busque intentos de explotación. En el host, serverOut_<fecha>.txt registra el throttling como ráfagas de:

   root@kitploit:~

   IAMSecurityException ErrorCode: URL_ROLLING_THROTTLES_LIMIT_EXCEEDED,
   RequestURI: "/showLogin.cc", RemoteAddr: <IP de origen>
   

   Un pico de URL_ROLLING_THROTTLES_LIMIT_EXCEEDED en rutas de despacho de SSO/inicio de sesión desde una única IP de origen es un fuerte indicador de fuerza bruta de tickets. También revise los inicios de sesión exitosos recientes y la actividad de sesiones para detectar señales de toma de control.

5. Reduzca la exposición mientras tanto. Restrinja el acceso de red a la suite AD360 (no debería estar expuesta a internet), y si la ruta de reproducción no es necesaria, deshabilitar la integración CustomSSO elimina la precondición por completo.

Remediación

Actualice el producto afectado al menos a la compilación corregida (ADSelfService Plus 6529, RecoveryManager Plus 6321, M365 Manager Plus 4817, ADAudit Plus 8703) o posterior. La corrección reemplaza el ticket SSO predecible System.currentTimeMillis() con UUID.randomUUID().

Licencia

Este código se distribuye bajo una licencia MIT.

Aviso legal

El uso de esta herramienta para atacar objetivos sin consentimiento mutuo previo es ilegal. Es responsabilidad del usuario final cumplir con todas las leyes locales, estatales y federales aplicables. Los desarrolladores no asumen ninguna responsabilidad y no son responsables por cualquier uso indebido o daño causado por este programa.

Véase también

• NVD: CVE-2026-11374
• Service packs de ManageEngine: ADSelfService Plus · RecoveryManager Plus · M365 Manager Plus · ADAudit Plus
• Blog de Bishop Fox: Análisis técnico completo