‌Zohocorp ManageEngine修复CVE-2024-9459等漏洞

ManageEngine 是一家专注于研发和销售IT管理软件的公司，隶属于卓豪（ZOHO Corporation），被广泛应用于全球200多个国家和地区。

ManageEngine 产品涵盖IT服务管理、网络监控、应用性能管理等多领域，旨在帮助企业简化IT管理，提高运维效率，服务多家世界百强。

一、基本情况

Exchange Reporter Plus是Exchange审计与报表工具 ，是一款分析和报告工具，提供140多种分析报表，全面监控和管理企业Exchange。

ManageEngine ADManager Plus 是一款 Windows Active Directory 管理和报表的解决方案，帮助 AD 管理员和帮助台技术人员提高效率。

ADAudit Plus是基于 UBA 的活动目录变更审计和 IT 审计方案 ，通过对所有变更事件的可视化分析，确保企业活动目录安全性和合规性。

栋科技漏洞库关注到卓豪近期发布安全更新，修复CVE-2024-9459、CVE-2024-48878、CVE-2024-36485、CVE-2024-5608等多个漏洞。

二、漏洞分析

CVE-2024-9459

CVE-2024-9459是Exchange Reporter Plus中存在的SQL 注入漏洞，该漏洞的CVSS3.1评分为8.8，虽然评分高危但攻击难度被认为较低。

该漏洞存在于 ManageEngine Exchange Reporter Plus 版本 5718 及更早版本中，允许经过身份验证的用户在报告模块中执行 SQL 注入。

经过身份验证的攻击者能够利用该漏洞，使用易受攻击的请求执行数据库表中的自定义查询和访问条目，因此来说该漏洞的潜在风险很高。

该漏洞影响似乎有限，毕竟它需要经过身份验证的用户才能进行攻击，但考虑到内部攻击和帐户盗窃的风险，可能会成为一个严重的问题。

特别是由于它直接影响处理 Exchange 相关信息的工具，因此电子邮件系统中的敏感数据很可能面临风险，从而影响组织的整体安全状况。

安全专家建议，除了更新版本之外，还应该加强审查访问权限和日志审核，特别是建立监控系统来检测经过身份验证的用户的未授权操作。

CVE-2024-48878

Zohocorp ManageEngine 于2024 年11月04日宣布，已确认其产品 ADManager Plus 中存在SQL注入漏洞，漏洞追踪为CVE-2024-48878。

该漏洞的CVSS3.1评分8.3，严重级别较高，影响 ADManager Plus 7241 及更早版本，ManageEngine将其归类为CWE-89（SQL 注入）。

该漏洞是由于存档审核报告功能未正确验证输入值引起的，攻击者可能能够非法执行 SQL 命令，从而造成数据库篡改和信息泄露的风险。

该漏洞可能无需权限即可实现网络进行攻击，如果该漏洞被利用，攻击者很有可能篡改数据库或泄露机密信息，因此需要立即采取对策。

CVE-2024-36485

Zohocorp ManageEngine于2024 年11月04日披露，ADAudit Plus 8121及更早版本中存在SQL注入漏洞，漏洞被追踪为CVE-2024-36485。

该漏洞CVSS评分为8.3，严重程度较高，可能允许经过身份验证的攻击者远程执行未经授权的 SQL 命令，从而可能导致严重的系统影响。

CVE-2024-5608

CVE-2024-5608漏洞位于ADAudit Plus 8121及更早版本，可能允许经认证攻击者执行自定义查询并使用易受攻击请求访问数据库表条目。

该漏洞被归属为SQL注入漏洞，CVSS评分为8.3，虽然该漏洞被利用的前提条件是经过身份认证，但被成功利用而导致风险是非常大的。

三、漏洞影响

Exchange Reporter Plus <= 5718 或以下版本

ADManager Plus <= 7241 版本

ADAudit Plus <= 8121 版本

四、修复建议

Zohocorp ManageEngine 已于2024年11月05日发布的安全公告，请根据相关公告将产品更新到适当的最新版本。

Exchange Reporter Plus Build >= 5719 版本

ADManager Plus >=  7250 版本

ADAudit Plus Build >= 8121 版本

五、参考链接

https://www.manageengine.com/products/exchange-reports/advisory/CVE-2024-9459.html

https://www.manageengine.com/products/ad-manager/admanager-kb/cve-2024-48878.html

https://www.manageengine.com/products/active-directory-audit/cve-2024-36485.html

https://www.manageengine.com/products/active-directory-audit/cve-2024-5608.html