Zoho ManageEngine PoC Exploit se lanzará pronto

El problema en cuestión es que CVE-2022-47966 es una vulnerabilidad de ejecución remota de código no autenticado que afecta a varios productos debido al uso de una dependencia de terceros obsoleta, Apache Santuario.

“Esta vulnerabilidad permite que un adversario no autenticado ejecute código arbitrario“, advirtió Zoho en un aviso emitido a fines del año pasado, y señaló que afecta a todas las configuraciones de ManageEngine que tienen habilitada la función de inicio de sesión único (SSO) de SAML, o que la tenían habilitada en el pasado.

Esta vulnerabilidad se explota activamente en la naturaleza. Las solicitudes que intentaron explotar esta vulnerabilidad alcanzaron su punto máximo el 20 de enero, justo después de que se lanzaran el código público de explotación y los “deep dive”. En conjunto, se vio casi 2000 intentos de ataque este mes, dirigidos a casi 1000 sitios distintos, en su mayoría con sede en los EE. UU. y los Países Bajos.

En este punto, la mayoría de los intentos están realizando pruebas de seguridad de aplicaciones fuera de banda (OAST) en un intento de ver si las máquinas objetivo son vulnerables, pero es probable que pronto sigan los bots DDoS, los criptomineros y otros ataques.

Actualización: Exploit PoC lanzado

Horizon3.ai ha lanzado oficialmente un exploit para CVE-2022-47966, una falla de seguridad crítica en varios productos Zoho ManageEngine que permite a un adversario obtener la ejecución remota de código mediante la emisión de una solicitud HTTP POST que contiene una respuesta SAML maliciosa.
Se insta a los usuarios de Zoho ManageEngine a parchear sus instancias contra una vulnerabilidad de seguridad crítica antes del lanzamiento de un código de explotación de prueba de concepto (PoC).

La empresa de ciberseguridad Rapid7 reveló que está “respondiendo a varios compromisos derivados de la explotación de CVE-2022-47966” desde al menos el 17 de enero de 2023, con los actores de amenazas armando la falla para eliminar los scripts de PowerShell para deshabilitar las protecciones en tiempo real de Microsoft Defender Antivirus. y descargar herramientas adicionales de acceso remoto.

“Las organizaciones que utilicen cualquiera de los productos afectados […] deben actualizarse de inmediato y revisar los sistemas sin parches en busca de signos de compromiso, ya que el código de explotación está disponible públicamente y la explotación ya ha comenzado”, dijo Glenn Thorpe, investigador de Rapid7.

ManageEngine publicó un aviso el cual aborda la vulnerabilidad de ejecución remota de código no autenticado informada y parcheada en los siguientes productos ManageEngine OnPremise debido al uso de una dependencia de terceros obsoleta, Apache Santuario.

Fuente: https://www.manageengine.com/security/advisory/CVE/cve-2022-47966.html