Zoho 社の複数の製品においてユーザから指定された任意の Java のシリアライズされた命令を実行してしまう脆弱性（Scan Tech Report）

◆概要
　2022 年 6 月に、Zoho 社の複数の製品に遠隔からの任意のコード実行につながる脆弱性が報告されています。攻撃者に当該脆弱性を悪用されてしまうと、管理者権限での意図しない動作の強制や侵入につながります。アップデートにより対策してください。

◆分析者コメント
　攻撃リクエストの内容が単純であり認証を必要とせずに悪用可能な脆弱性であるため、攻撃者が積極的に悪用する脆弱性であると考えられます。主に社内のネットワークで使用されていると考えられるソフトウェアですが、近年はマルウェアなどにより社内のネットワークに侵入される可能性が十分に考えられるため、社内のネットワークへの侵入に成功した攻撃者が侵入範囲の拡大に使用する可能性が高いです。ソフトウェアのアップデートにより根本的に対策してください。

◆深刻度(CVSS)
[CVSS v3.1]
9.8
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2022-35405&vector=AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H&version=3.1&source=NIST

◆影響を受けるソフトウェア
　Zoho 社の以下の製品が影響を受けると報告されています：

　　+ ManageEngine Access Manager Plus バージョン 4302 およびそれより
　　　も古いバージョン
　　+ ManageEngine Password Manager Pro バージョン 12100 およびそれよ
　　　りも古いバージョン
　　+ ManageEngine PMP360 バージョン 5500 およびそれよりも古いバージョ
　　　ン

◆解説
　ManageEngine Password Manager Pro をはじめとする、Zoho 社の複数のソフトウェア製品に、遠隔から管理者権限で任意のコードが実行可能となる脆弱性が報告されています。

　脆弱性は対象製品の XML RPC 通信の機能に存在します。脆弱性が存在する製品では、任意のユーザが指定した Java のシリアライズされた命令を処理するため、当該ソフトウェアが稼働しているサーバにアクセス可能であれば任意のJava のシリアライズされた命令を読み込ませて実行させることができます。攻撃者は当該脆弱性を悪用して、遠隔から管理者権限で対象ホストへの侵入が可能となります。

◆対策
　ソフトウェアを以下のバージョンおよびそれよりも新しいバージョンにアップデートしてください：

　　+ ManageEngine Access Manager Plus バージョン 4303
　　+ ManageEngine Password Manager Pro バージョン 12101
　　+ ManageEngine PMP360 バージョン 5510


◆関連情報
[1] Zoho 社公式
　　https://www.manageengine.com/products/passwordmanagerpro/advisory/cve-2022-35405.html
[2] National Vulnerability Database (NVD)
　　https://nvd.nist.gov/vuln/detail/CVE-2022-35405
[3] CVE Mitre
　　https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-35405

◆エクスプロイト
　以下の Web サイトにて、当該脆弱性を悪用して、対象ホストへの任意のコード実行を施行するエクスプロイトコードが公開されています。

　　GitHub - rapid7/metasploit-framework
　　https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/windows/http/zoho_password_manager_pro_xml_rpc_rce.rb

#--- で始まる行は筆者コメントです。