CVE-2022-28810
Zoho ManageEngine ADSelfService Plus रिमोट कोड निष्पादन भेद्यता
- प्रकाशित
- 18 अप्रैल 2022
- अद्यतन
- 21 अक्टू॰ 2025
- सीएनए असाइन करना
- mitre
- साक्ष्य देखे गए
- 7 मार्च 2023
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 99.4%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सीआईएसए ज्ञात शोषण
यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।
सारांश
Zoho ManageEngine ADSelfService Plus बिल्ड 6122 से पहले एक रिमोट प्रमाणित व्यवस्थापक (remote authenticated administrator) को पॉलिसी कस्टम स्क्रिप्ट सुविधा के माध्यम से SYSTEM के रूप में मनमाने ऑपरेटिंग OS कमांड निष्पादित करने की अनुमति देता है। डिफ़ॉल्ट व्यवस्थापक पासवर्ड के उपयोग के कारण, हमलावर न्यूनतम प्रयास के साथ इस कार्यक्षमता का दुरुपयोग करने में सक्षम हो सकते हैं। इसके अतिरिक्त, एक रिमोट और आंशिक रूप से प्रमाणित हमलावर, एक अनसैनिटाइज़्ड पासवर्ड फ़ील्ड के कारण कस्टम स्क्रिप्ट में मनमाने कमांड इंजेक्ट करने में सक्षम हो सकता है।
स्रोत
modules/exploits/windows/http/manageengine_adselfservice_plus_cve_2022_28810.rb
Metasploit Framework modulesघोषित शर्तें
- platform: Windows($.exploit_windows/http/manageengine_adselfservice_plus_cve_2022_28810.platform)
- verification: check_declared($.exploit_windows/http/manageengine_adselfservice_plus_cve_2022_28810.check)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।