Trusted Design

CVE-2021-44077 の詳細

CVEの情報

説明:
Zoho ManageEngine ServiceDesk Plus before 11306, ServiceDesk Plus MSP before 10530, and SupportCenter Plus before 11014 are vulnerable to unauthenticated remote code execution. This is related to /RestAPI URLs in a servlet, and ImportTechnicians in the Struts configuration.

CVE更新日: 2021-11-29 04:15:06.737000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2021-12-01

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.932980000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2021-44077について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2021-44077は、ManageEngine ServiceDesk Plusにおいて発見された、認証不要のリモートコード実行（RCE）の脆弱性です。 この脆弱性は、ServiceDesk PlusのREST API処理におけるセキュリティ設定の不備により、認証なしにファイルのアップロードが可能となることに関連しています。

1.1 影響

この脆弱性が悪用されると、攻撃者は認証なしに任意のコードを実行したり、実行ファイルをアップロードしたり、ウェブシェルを設置したりすることが可能になります。これにより、管理者認証情報の侵害、横方向の移動、レジストリハイブやActive Directoryファイルの持ち出しなど、様々な後続攻撃が行われる可能性があります。

1.2 深刻度

この脆弱性は「クリティカル」と評価されており、CVSSv3.1のベーススコアは9.8（最大値）です。 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）や連邦捜査局（FBI）は、この脆弱性が高度な持続的脅威（APT）アクターによって積極的に悪用されていることを警告しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、ManageEngine ServiceDesk Plus (オンプレミス版) のすべてのエディションに影響を与えます。具体的には、バージョン11305およびそれ以前のバージョンが脆弱です。

また、以下の製品も影響を受けます。 * ServiceDesk Plus MSP: バージョン10530より前のバージョン * SupportCenter Plus: バージョン11014より前のバージョン

2.2 影響を受ける設定

ServiceDesk Plusの「REST API」処理において、/RestAPI URLを介したサーブレットとStruts設定内のImportTechniciansに関連するセキュリティ設定の不備が原因です。これにより、認証なしでのファイルアップロードが可能となっています。

3. 影響を受けた時の兆候

  • サーバーが侵害された場合、「Your server has been compromised by an Unauthenticated RCE attack. Isolate the ServiceDesk Plus server from the network immediately and contact ServiceDesk Plus support for more assistance.」というメッセージが表示される可能性があります。
  • 攻撃者はウェブシェルを設置したり、ファイルを難読化・非難読化したり、ユーザー認証情報をダンプしたりするなどの、侵害後の活動を行うことがあります。
  • サーバー上でmsiexec.exeの異常な実行を監視することが推奨されます。
  • ゾーホー社が提供するエクスプロイト検出ツールを利用して、システムに侵害の兆候がないかを確認できます。

4. 推奨対策

4.1 本対策

  • 即座にアップグレードする: ManageEngine ServiceDesk Plusをバージョン11306以降にアップグレードしてください。
    • ServiceDesk Plus MSPをご利用の場合は、バージョン10530以降にアップグレードしてください。
    • SupportCenter Plusをご利用の場合は、バージョン11014以降にアップグレードしてください。
  • アップグレードを行う前に、ServiceDesk Plusのインストールフォルダ全体とデータベースのバックアップを作成することを強く推奨します。

4.2 暫定回避策（緩和策）

即座のアップグレードが困難な場合は、以下の緩和策を検討してください。 * web.xmlおよびstruts-config.xmlファイルを修正する。具体的な手順については、ゾーホー社のセキュリティアドバイザリを参照してください。 * ServiceDesk Plusの管理インターフェースへのネットワークアクセスを制限する。 * Webアプリケーションファイアウォール（WAF）のルールを実装し、/RestAPI/ImportTechniciansおよび/s247actionへの悪意のあるリクエストをブロックする。 * ゾーホー社が提供するエクスプロイト検出ツールを使用して、システムが侵害されていないかを確認してください。

他に解説すべき観点

  • この脆弱性は、2021年9月16日に修正されたバージョンがリリースされましたが、リモートコード実行の脆弱性（CVE-2021-44077）として公式にアドバイザリが公開されたのは2021年11月22日でした。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る