PT-2020-10038 · Microsoft+1 · System Center Configuration Manager+1
CVE-2019-19034
·
Publicado
2020-03-23
·
Atualizado
2023-02-03
CVSS v3.1
7.2
Alta
| Vetor | AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Zoho ManageEngine Asset Explorer versão 6.5
Descrição
O problema decorre da falta de validação do nome de usuário do banco de dados do System Center Configuration Manager (SCCM) ao gerar dinamicamente um comando para agendar varreduras para o SCCM. Isso permite que um invasor execute comandos arbitrários no servidor AssetExplorer com privilégios NT AUTHORITY/SYSTEM.
Recomendações
Para o Zoho ManageEngine Asset Explorer versão 6.5, considere desativar a geração dinâmica de comandos para varreduras do SCCM até que um patch esteja disponível para impedir a execução de comandos arbitrários. Restrinja o acesso ao servidor AssetExplorer para minimizar o risco de exploração.
Exploit
Correção
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
System Center Configuration Manager
Zoho Manageengine Assetexplorer