SecBoard
Zurück zur CVE-Übersicht

CVE-2022-47966

CRITICAL(9.8)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score84/100 — KRITISCH
  • CVSS 9.8 — Kritisch
  • EPSS 100% — sehr wahrscheinlich ausgenutzt
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

99.8%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

CVE-2022-47966 betrifft mehrere Zoho ManageEngine On-Premise-Produkte und ermöglicht die Remotecodeausführung (). Die Schwachstelle resultiert aus der unsicheren Nutzung von Apache Santuario xmlsec 1.4.1, wobei die ManageEngine-Anwendungen erforderliche Sicherheitsvorkehrungen nicht implementierten. Eine Ausnutzung ist möglich, wenn SAML SSO jemals konfiguriert wurde, und führt zu einer vollständigen Kompromittierung der betroffenen Systeme.

Mit einem CVSS-Score von 9.8 (CRITICAL) und einer von 100% ist diese Schwachstelle extrem kritisch. Sie wird aktiv ausgenutzt, wie die Aufnahme in den KEV-Katalog bestätigt, was ein unmittelbares und hohes Risiko darstellt. Die hohe Exploit-Wahrscheinlichkeit unterstreicht die Dringlichkeit der Gegenmaßnahmen.

Security-Teams sollten umgehend alle betroffenen Zoho ManageEngine Produkte identifizieren und die vom Hersteller bereitgestellten Patches installieren. Falls ein sofortiges Patchen nicht möglich ist, müssen alternative Mitigationen geprüft und implementiert werden, um das Risiko einer Remotecodeausführung zu minimieren. Eine Priorisierung dieser Schwachstelle ist aufgrund der aktiven Ausnutzung und der kritischen Auswirkungen unerlässlich.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

Multiple Zoho ManageEngine on-premise products, such as ServiceDesk Plus through 14003, allow remote code execution due to use of Apache Santuario xmlsec (aka XML Security for Java) 1.4.1, because the xmlsec XSLT features, by design in that version, make the application responsible for certain security protections, and the ManageEngine applications did not provide those protections. This affects Access Manager Plus before 4308, Active Directory 360 before 4310, ADAudit Plus before 7081, ADManager Plus before 7162, ADSelfService Plus before 6211, Analytics Plus before 5150, Application Control Plus before 10.1.2220.18, Asset Explorer before 6983, Browser Security Plus before 11.1.2238.6, Device Control Plus before 10.1.2220.18, Endpoint Central before 10.1.2228.11, Endpoint Central MSP before 10.1.2228.11, Endpoint DLP before 10.1.2137.6, Key Manager Plus before 6401, OS Deployer before 1.1.2243.1, PAM 360 before 5713, Password Manager Pro before 12124, Patch Manager Plus before 10.1.2220.18, Remote Access Plus before 10.1.2228.11, Remote Monitoring and Management (RMM) before 10.1.41. ServiceDesk Plus before 14004, ServiceDesk Plus MSP before 13001, SupportCenter Plus before 11026, and Vulnerability Manager Plus before 10.1.2220.18. Exploitation is only possible if SAML SSO has ever been configured for a product (for some products, exploitation requires that SAML SSO is currently active).

Referenzen