• Clona il repository

• Entra nella directory creata

• Installa le dipendenze con pip. A seconda della configurazione locale di python3, i comandi richiesti saranno:

oppure:

Utilizzo

Prodotti supportati

Attualmente, i seguenti prodotti interessati sono pienamente supportati:

• ManageEngine ADAudit Plus
• ManageEngine ADManager Plus
• ManageEngine Asset Explorer
• ManageEngine Endpoint Central (questo include probabilmente Endpoint Central MSP, anche se quella versione non è stata testata separatamente)
• ManageEngine PAM 360
• ManageEngine ServiceDesk Plus (questo include probabilmente ServiceDesk Plus MSP, anche se quella versione non è stata testata separatamente)
• ManageEngine SupportCenter Plus

Inoltre, i seguenti prodotti sono parzialmente supportati, il che significa che lo script otterrà la versione ma non può verificare se SAML è

• ManageEngine Active Directory 360 (AD360)
• ManageEngine ADSelfService Plus

I seguenti prodotti non sono supportati:

• ManageEngine Access Manager Plus
• ManageEngine Analytics Plus
• ManageEngine Application Control Plus
• ManageEngine Browser Security Plus
• ManageEngine Device Control Plus
• ManageEngine Endpoint DLP
• ManageEngine Key Manager Plus
• ManageEngine OS Deployer
• ManageEngine Password Manager Pro
• ManageEngine Patch Manager Plus
• ManageEngine Remote Access Plus
• ManageEngine Remote Monitoring and Management (RMM)
• ManageEngine Vulnerability Manager Plus

Il supporto per alcuni di questi prodotti potrebbe essere aggiunto in un prossimo futuro, anche se sembra improbabile che questo script supporti mai tutti.

Stati di vulnerabilità

• vulnerable: Il target non è patchato e ha SAML abilitato
• potentially_vulnerable: Il target non è patchato e:
  • lo script non è stato in grado di determinare se SAML era abilitato
  • oppure SAML non è risultato abilitato, ma il target sarebbe comunque vulnerabile se SAML fosse mai stato abilitato
• not_patched: Il target non è patchato ma SAML non è abilitato. Ciò significa che il target non è attualmente vulnerabile, ma potrebbe diventarlo abilitando SAML.
• likely_not_vulnerable: Il target non sembra vulnerabile in base ai controlli eseguiti.
• unknown: Lo stato di vulnerabilità non può essere determinato, molto probabilmente perché la versione del prodotto non è stata ottenuta o non è stata riconosciuta. Lo script genererà un file JSON chiamato

File di output

• cve_2022_47966_scan.json - File JSON con nome del prodotto, versione, stato della configurazione SAML, stato di vulnerabilità e altre informazioni rilevanti per qualsiasi sistema riconosciuto dallo script.
• cve_2022_47966_scan.txt - File di testo con una suddivisione leggibile dei risultati. È identico al report stampato nella console (senza i colori ANSI)
• cve_2022_47966_scan_unidentified.json - File JSON con informazioni sui sistemi che non sono stati identificati, ma che sembrano comunque degni di nota perché le stringhe ManageEngine e/o manageengine sono state trovate nel corpo della risposta inviata dal server.

Avvertenze

• Lo script attualmente utilizza solo la versione di build auto-dichiarata per determinare se una determinata app non è patchata. Tuttavia, le versioni di build auto-dichiarate potrebbero non essere sempre del tutto accurate, ma sembrano fornire una corretta indicazione dello stato delle patch nella maggior parte dei casi.
• Lo script cerca stringhe specifiche nel corpo della risposta del server per vedere se SAML è configurato per una determinata app. Anche in questo caso, potrebbe non essere sempre accurato al 100%, sebbene i falsi positivi qui siano improbabili.
• A causa del gran numero di prodotti interessati, lo script è stato testato su un numero limitato di sistemi per ciascun prodotto. Ciò potrebbe comportare risultati errati per versioni di prodotto che differiscono da quelle testate. Ad esempio, durante i test abbiamo notato che versioni diverse dello stesso prodotto talvolta presentano il numero di versione auto-dichiarato in modo diverso. Di conseguenza, lo scanner potrebbe talvolta non riuscire a identificare la versione per un prodotto supportato. Tuttavia, in tal caso lo scanner segnalerà comunque l'identificazione del prodotto e l'incapacità di identificare la versione.
• In generale, i falsi negativi sembrano più probabili dei falsi positivi.

Nel tentativo di fornire risultati relativamente completi nonostante le limitazioni sopra menzionate, lo script segnala tutti i sistemi, anche quelli trovati non vulnerabili, così come le app web che potrebbero essere prodotti ManageEngine ma non sono state riconosciute dallo script.

Quanto è invasivo questo strumento?

Lo scanner è estremamente leggero. Per la maggior parte delle app supportate, lo scanner esegue esattamente due richieste HTTP:

• Una richiesta GET all'URL fornito (che dovrebbe essere l'URL di base dell'app)
• Una richiesta POST con corpo vuoto all'endpoint SAML

Per alcuni prodotti, viene eseguita una richiesta GET aggiuntiva per seguire manualmente un reindirizzamento. Per alcuni prodotti, la richiesta POST non viene nemmeno eseguita.

Patch

Fare riferimento all'advisory di sicurezza ufficiale di ManageEngine per un elenco completo delle applicazioni interessate e delle relative patch.

Nota sul supporto

Questo scanner è fornito così com'è. Pull request e issue sono benvenute e speriamo di aggiungere supporto per ulteriori target in un prossimo futuro. Tuttavia, non possiamo garantire il supporto per questo strumento.