聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
ManageEngine Desktop Central 是一个端点管理平台，可使管理员在网络上部署补丁和软件并远程解决问题。Zoho 在最新发布的 Desktop Central 和 Desktop Central MSP 版本（build Build: 10.1.2137.9）中发布了缓解措施。
Zoho ManageEngine 团队在通知中解释称，“该认证绕过漏洞可导致远程用户在服务器中执行越权操作。如遭利用，可允许攻击者读取越权数据或在服务器上写任意zip 文件。” Zoho 还建议客户应用 Desktop Central 和 Desktop Central MSP 安全加固指南。
Shodan 搜索结果显示，如不打补丁，则互联网上有超过2800个 ManageEngine Desktop Central 实例易遭攻击。
2021年12月初，Zoho 修复了另外一个严重漏洞（CVE-2021-44515），它可导致攻击者绕过认证并在未修复 ManageEngine Desktop Central 服务器上执行任意代码。Zoho 当时还提醒称，已发现在野利用证据，督促客户尽快应用更新。12月末，FBI 网络部门提醒称至少从2021年10月末开始，就有多个APT 组织利用 CVE-2021-44515 缺陷。
这并非 Zoho ManageEngine 服务器首次遭攻击。尤其是 Desktop Central 实例至少在2020年7月就被黑且受陷网络的访问权限在黑客论坛上出售。
在2021年8月至10月，某些国家黑客攻击 Zoho ManageEngine 产品。为此，CISA 和FBI 联合发布安全公告称国家黑客组织利用 ManageEngine 漏洞在关键基础设施组织机构如医疗、金融服务、电子和IT咨询行业网络上释放 web shell。
https://www.bleepingcomputer.com/news/security/zoho-plugs-another-critical-security-hole-in-desktop-central/
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 "赞” 吧~