КиберосноваSGRC
BDU:2021-06278
Критический

BDU:2021-06278: Уязвимость программного средства для управления рабочими местами через web-интерфейс ManageEngine Desktop Central, связанная с недостатками процедуры аутентификации, позволяющая нарушителю обойти процедуру аутентификации и выполнить произвольный код

CVSS v39.8
CVSS v210.0
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2021-06278

Описание

Уязвимость программного средства для управления рабочими местами через web-интерфейс ManageEngine Desktop Central связана с недостатками процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти процедуру аутентификации и выполнить произвольный код

Что делать с BDU:2021-06278

Критическая уязвимость (CVSS 9.8) требует немедленного реагирования. По приказу ФСТЭК №117 срок устранения — 24 часа. Проверьте наличие патча у вендора и установите его на все затронутые системы. При невозможности патча — изолируйте уязвимый компонент и примените компенсирующие меры.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
9.8Критический
Пересчитать →
v2
10.0
Только просмотр
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAV:N/AC:L/Au:N/C:C/I:C/A:C

CWE — тип уязвимости

CWE-287

CVE — международный идентификатор

CVE-2021-44515
CWE-287
Некорректная аутентификация

Механизм аутентификации можно обойти или он неправильно реализован. Позволяет несанкционированный доступ.

Как атакуют и что делать ▾

Сценарий атаки

Механизм аутентификации обходится: SQL-инъекция в логине, предсказуемые токены, отсутствие проверки подписи JWT.

Последствия

Полный несанкционированный доступ к системе под любой учётной записью.

Рекомендации

Используйте проверенные библиотеки аутентификации, MFA, не изобретайте свою криптографию.

Тактики и техники

Нарушение аутентификации

Уязвимое ПО (2)

ВендорНазваниеВерсияПлатформа
ZOHO Corp.ManageEngine Desktop Centralдо 10.1.2127.17 включительноНе указана
ZOHO Corp.ManageEngine Desktop Centralот 10.1.2128.0 до 10.1.2137.2 включительноНе указана

Рекомендации по устранению

Обновление программного обеспечения до версии 10.1.2127.18 или новее

Источники (1)

SLA ФСТЭК №117

24 часа

по базовой оценке CVSS 9.8

Уточните SLA под вашу среду

Базовый балл 9.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Немедленно устранить

Эксплуатируется или вероятность крайне высока. Приоритет №1 — устраните в первую очередь.

EPSS — вероятность эксплуатации94.4%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

CISA KEV — активно эксплуатируется

Включена в каталог Known Exploited Vulnerabilities. Устранение — приоритет.

Информация

Обнаружена

2021-12-07

Опубликована

2021-12-20

Обновлена

2024-09-24

Эксплойт

Существует в открытом доступе

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2021-44515 MITRE: CWE-287 Каталог CPE (ФСТЭК)

Связанные уязвимости

BDU:2023-01121
Высокий
9.6

Уязвимость компонента AgentLogUploadServlet программного средства для управления рабочими местами через web-интерфейс Ma

BDU:2020-02784
Средний
4.3

Уязвимость программного средства для управления рабочими местами через web-интерфейс ManageEngine Desktop Central, связа

BDU:2020-02110
Критический
9.8

Уязвимость сервлетов CewolfServlet и MDMLogUploaderServlet программного средства для управления рабочими местами через w

BDU:2025-12730
Критический
9.8

Уязвимость компонента DCPluginServelet Servlet программного средства для управления рабочими местами через web-интерфейс

BDU:2018-00354
Критический
9.8

Уязвимость средства для управления рабочими местами через web-интерфейс ManageEngine Desktop Central, связанная с недост

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0