พบช่องโหว่ Zero-day บนผลิตภัณฑ์ Zoho ManageEngine

Steven Seeley นักวิจัยด้านความมั่นคงปลอดภัยได้เปิดเผยช่องโหว่ Zero-day บนผลิตภัณฑ์ ManageEngine Desktop Central ของบริษัท Zoho ซึ่งทำให้แฮ็กเกอร์สามารถลอบรันโค้ดจากทางไกลในสิทธิ์ระดับสูงได้

Zoho Corporation เป็นบริษัทด้านซอฟต์แวร์สัญชาติอเมริกัน-อินเดีย โดยผลิตภัณฑ์ระดับองค์กรที่พบปัญหาในครั้งนี้คือ ManageEngine Desktop Central หรือโซลูชันด้าน Endpoint Mangement ที่ช่วยให้ผู้ดูแลขององค์กรสามารถควบคุมอุปกรณ์ต่างได้ เช่น การอัปเดต ควบคุมระบบจากทางไกล ล็อกอุปกรณ์ หรือจำกัดการเข้าถึง เป็นต้น 

โดยช่องโหว่เกิดขึ้นใน FileStorage ที่ตรวจสอบข้อมูลจากผู้ใช้ไม่ดีพอ ทำให้เกิดการ Deserialization และนำไปสู่การลอบรันโค้ดในบริบทของ SYSTEM ได้ ปัจจุบันนักวิจัยไม่ได้แจ้งต่อบริษัทแต่เปิดเผยโค้ด PoC ผ่านออนไลน์ ซึ่งล่าสุดทาง Zoho ออกแพตช์มาแล้วที่นี่ (CVE-2020-10189) โดยข้อมูลจาก Microsoft ระบุว่าการใช้งาน ManagedEngine Desktop Central กว่า 2,300 เครื่องที่เชื่อมต่อกับอินเทอร์เน็ต

ที่มา :  https://www.zdnet.com/article/zoho-zero-day-published-on-twitter/ และ  https://www.securityweek.com/zoho-working-patch-zero-day-vulnerability-manageengine-product