ServiceDesk Plusなど4製品にRCE脆弱性、修正版あり
Summary
ManageEngineのServiceDesk Plusなど4製品のReportsモジュールに、権限を持つ利用者がサーバー上でコマンドを実行できる脆弱性があります。該当版を使う組織は、6月に出た修正版へ更新し、レポート作成権限の持ち主も見直してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
ManageEngineのServiceDesk Plusなど4製品のReportsモジュールに、権限を持つ利用者がサーバー上でコマンドを実行できる脆弱性があります。該当版を使う組織は、6月に出た修正版へ更新し、レポート作成権限の持ち主も見直してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| ZohocorpAssetExplorer |
< 7860→ 7860 |
7860 |
| ZohocorpServiceDesk Plus |
< 15290→ 15290 |
15290 |
| ZohocorpServiceDesk Plus MSP |
< 15150→ 15150 |
15150 |
| ZohocorpSupportCenter Plus |
< 15150→ 15150 |
15150 |
Original description The description as published by the source.
Zohocorp ManageEngine AssetExplorer versions below 7860, ServiceDesk Plus versions below 15290, ServiceDesk Plus MSP versions below 15150, and SupportCenter Plus versions below 15150 are affected by a authenticated remote code execution vulnerability in the Reports module. An authenticated user with the Create Query Reports permission could exploit specially crafted database queries to execute arbitrary commands on the underlying server.
Source: CVE.org (CVE Program・cvelistV5) NVD
References
- web manageengine.com