Los equipos de seguridad de Zoho anunciaron el lanzamiento de un parche de seguridad que aborda una vulnerabilidad de evasión de autenticación en ManageEngine ADSelfService Plus, además de reconocer que la falla ya ha sido explotada en escenarios reales.
Identificada como CVE-2021-40539, esta falla es considerada como crítica debido a que su explotación exitosa permitiría a los actores de amenazas tomar control total del sistema comprometido.
Según el reporte de la compañía, la falla reside en las URL de la API REST en ADSelfService Plus y su explotación permitiría la ejecución remota de código (RCE). Los detalles técnicos sobre la vulnerabilidad aún no se han publicado debido a que el riesgo de explotación sigue latente: “Esto es un problema critico. Estamos notando indicios de explotación de esta vulnerabilidad”, señala la compañía.
Al parecer, todas las compilaciones de ADSelfService Plus hasta la 6113 resultaron ser vulnerables a este problema, por lo que se recomienda a los clientes que actualicen inmediatamente ADSelfService Plus compilación 6114 o posteriores.
En una alerta de seguridad posterior, la Agencia de Ciberseguridad y Seguridad de Infraestructura (CISA) solicitó a los usuarios verificar cuidadosamente las recomendaciones de Zoho, además de instalar las actualizaciones de ADSelfService cuanto antes.
ManageEngine ADSelfService Plus, una solución integrada de autoservicio de administración de contraseñas y de inicio de sesión único, se puede utilizar con Active Directory y aplicaciones en la nube para crear políticas de contraseñas, implementar técnicas de autenticación y hacer cumplir la autenticación de dos factores (2FA), entre otros.
Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).
El cargo CVE-2021-40539: Vulnerabilidad muy severa en Zoho ManageEngine ADSelfService. Actualice ahora apareció primero en Noticias de seguridad informática, ciberseguridad y hacking.
Ver Fuente
No hay comentarios.:
Publicar un comentario