Банк данных угроз безопасности информации

Федеральная служба по техническому и экспортному контролю

ФСТЭК России

Государственный научно-исследовательский испытательный институт проблем технической защиты информации

ФАУ «ГНИИИ ПТЗИ ФСТЭК России»

BDU:2021-05099: Уязвимость программного обеспечения для сброса паролей ManageEngine ADSelfService Plus , связанная с отсутствием процедуры аутентификации, позволяющая нарушителю обойти процедуру аутентификации

Основная информация
Подробнее

Описание уязвимости

Уязвимость программного обеспечения для сброса паролей ManageEngine ADSelfService Plus связана с отсутствием процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти процедуру аутентификации

Вендор

ZOHO Corp.

Наименование ПО

ManageEngine ADSelfService Plus

Версия ПО

до 6114

Тип ПО

Сетевое средство, Прикладное ПО информационных систем, Сетевое программное средство

Операционные системы и аппаратные платформы

Данные уточняются

Тип ошибки

Неправильная аутентификация

Идентификатор типа ошибки

CWE-287

Класс уязвимости

Уязвимость кода

Дата выявления

07.09.2021

Базовый вектор уязвимости

CVSS 2.0: AV:N/AC:L/Au:N/C:P/I:P/A:P

CVSS 3.0: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:
https://www.manageengine.com/products/self-service-password/kb/how-to-fix-authentication-bypass-vulnerability-in-REST-API.html
https://www.manageengine.com

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Способ эксплуатации

Нарушение аутентификации

Способ устранения

Обновление программного обеспечения

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://www.manageengine.com/products/self-service-password/kb/how-to-fix-authentication-bypass-vulnerability-in-REST-API.html
https://www.manageengine.com
http://packetstormsecurity.com/files/165085/ManageEngine-ADSelfService-Plus-Authentication-Bypass-Code-Execution.html

Идентификаторы других систем описаний уязвимостей

CVE: CVE-2021-40539

Прочая информация

Данные уточняются

Последние изменения