Trusted Design

解説:

CVE-2021-44515について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2021-44515は、Zoho社の統合エンドポイント管理（UEM）製品であるManageEngine Desktop CentralおよびManageEngine Desktop Central MSPに存在する認証バイパスの脆弱性です。この脆弱性が悪用されると、攻撃者は認証を回避し、リモートで任意のコードを実行（RCE）できる可能性があります。

1.1 影響

本脆弱性が悪用された場合、攻撃者は不正に製品へのアクセス権を取得し、ManageEngine Desktop CentralまたはDesktop Central MSPサーバー上で任意のコードを実行する可能性があります。これにより、システムが完全に制御され、機密情報の窃取、システムの改ざん、サービス停止などの深刻な被害が発生する可能性があります。

1.2 深刻度

この脆弱性の深刻度は「緊急（Critical）」と評価されています。CVSS v3.1スコアは9.8（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）です。

2. 対象となる環境

2.1 影響を受ける製品およびバージョン

以下のManageEngine製品およびビルドバージョンが影響を受けます。

• ManageEngine Desktop Central:
  • ビルド10.1.2127.17およびそれ以前
  • ビルド10.1.2128.0から10.1.2137.2
• ManageEngine Desktop Central MSP:
  • ビルド10.1.2127.17およびそれ以前
  • ビルド10.1.2128.0から10.1.2137.2

注記: ManageEngine Desktop Centralは現在Endpoint Centralに名称変更されています。

2.2 影響を受けるOSバージョン

本脆弱性は、特定のOSバージョンではなく、ManageEngine Desktop CentralおよびDesktop Central MSPアプリケーション自体に存在します。これらの製品はWindows、Mac、Linux上で稼働しますが、脆弱性はアプリケーションのビルドバージョンに依存します。

2.3 影響を受ける設定

不明。

3. 影響を受けた時の兆候

• FBIは、本脆弱性を悪用したAPT攻撃に関するアラートを発表し、技術的な詳細と侵害の痕跡（IOC）を提供しています。
• Zoho社は、顧客が自社のシステムで侵害の兆候を特定できるよう、エクスプロイト検出ツールを提供しています。
• 具体的なIOCsは公開情報には含まれていませんが、FBIのフラッシュアラートに記載されています。

4. 推奨対策

4.1 本対策

• 最新ビルドへのアップデート: 可及的速やかに製品を最新ビルドにアップデートすることが強く推奨されます。
  • Desktop CentralおよびDesktop Central MSPの場合、ビルド10.1.2137.3以降にアップデートしてください。
• セキュリティ強化ガイドラインの順守: 全てのセキュリティ管理と保護が適切に設定されていることを確認するために、セキュリティ強化ガイドラインに従ってください。

4.2 暫定回避策（緩和策）

• ネットワークからの切断: 影響を受けるシステムをネットワークから切断します。
• データベースのバックアップ: Desktop Centralデータベースをバックアップします。
• Zoho社の情報参照: Zoho社は、Desktop CentralおよびDesktop Central MSP向けに、脆弱性の特定方法と緩和策を詳細に説明したKB記事を公開しています。
• FBIのアラート参照: FBIのフラッシュアラートには、緩和策も含まれています。

5. その他解説すべき観点

• 実際の悪用: この脆弱性は、2021年10月下旬からAPT（持続的標的型攻撃）アクターによって活発に悪用されていることが確認されています。
• CISA KEVリストへの掲載: 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の既知の悪用されている脆弱性（Known Exploited Vulnerabilities, KEV）カタログに掲載されています。これは、実際に悪用が確認されていることを意味します。

参照したサイト

• Rapid7 Analysis: CVE-2021-44515
• CVE-2021-44515: Desktop Central Auth Bypass Vulnerability - SentinelOne
• CVE-2021-44515: Zoho Desktop Central Authentication Bypass Vulnerability - Safeguard
• CVE-2021-44515: Security Advisory - ManageEngine
• CVE-2021-44515: ZoHo Patches ManageEngine Zero-Day Exploited in the Wild - Tenable
• CVE-2021-44515: Security Advisory - ManageEngine (Desktop Central)
• Detecting CVE-2021-44515: Zero-Day in Zoho ManageEngine Desktop Central | SOC Prime
• CVE-2021-44515: Undefined Security Weakness | Rapid7 Vulnerability Database
• An authentication bypass vulnerability identified and fixed in Desktop Central and Desktop Central MSP - PitStop ManageEngine
• ManageEngine Desktop Centralに「緊急」の脆弱性 FBIが注意喚起 - ITmedia
• Warning: Yet Another Zoho ManageEngine Product Found Under Active Attacks
• ZohoOwned :: Zoho ManageEngine Desktop Central 上的关键身份验证绕过 - 腾讯云
• Actively Exploited Critical Vulnerability in Zoho ManageEngine Desktop and Desktop Central | UCSF IT