Vulnerabilidad de omisión de restricción de RESTAPI - CVE-2022-29081

Gravedad  : Alta

ID CVE : CVE-2022-29081

Detalles : 
Se notificó una vulnerabilidad de omisión de autenticación que permite al atacante omitir las verificaciones de seguridad en URL de RESTAPI específicas y obtener acceso no autorizado a la aplicación.

Las siguientes URL de RESTAPI se vieron afectadas por la vulnerabilidad:

• //RestAPI/SSOutAction
• //RestAPI/SSLAction
• //RestAPI/LicenseMgr
• //RestAPI/GetProductDetails
• //RestAPI/GetDashboard
• //RestAPI/FetchEvents
• //RestAPI/Synchronize

Corregimos este problema al añadir una verificación de validación de seguridad en la URL de solicitud de API en PAM360 y Password Manager Pro, y al eliminar URL de API no usadas en Access Manager Plus.

Impacto : 
La vulnerabilidad permitía a un atacante invocar las siguientes operaciones en los tres productos:

1. Reiniciar el servicio.
2. Acceder a detalles del dashboard.
3. Aplicar una licencia de producto y obtener detalles de las licencias existentes.
4. Crear nuevos certificados de servidores.
5. Crear/descargar CSR de servidor y aplicar certificados del servidor.
6. Buscar logs de eventos y establecer cronogramas de sincronización.

Además de lo arriba mencionado, la vulnerabilidad también permitía a los atacantes terminar sesiones RDP activas, iniciadas con ManageEngine ServiceDesk Plus, PAM360 y Password Manager Pro.

Pasos para la actualización:

1. Descargue el último paquete de actualización de los siguientes enlaces para el respectivo producto:
   • PAM360 - https://www.manageengine.com/privileged-access-management/upgradepack.html
   • Password Manager Pro - https://www.manageengine.com/products/passwordmanagerpro/upgradepack.html
   • Access Manager Plus - https://www.manageengine.com/privileged-session-management/upgradepack.html
2. Aplique la última compilación a la instalación existente de su producto según las instrucciones del paquete de actualización provisto en los enlaces anteriores.

Reconocimientos:

Notificado por Evan Grant.

Contacte al equipo de soporte de productos para obtener más detalles a las direcciones de correo electrónico:

PAM360: pam360-support@manageengine.com

Password Manager Pro: passwordmanagerpro-support@manageengine.com

Access Manager Plus: accessmanagerplus-support@manageengine.com