Trusted DesignCVE-2022-28810 の詳細
CVEの情報
説明:
Zoho ManageEngine ADSelfService Plus before build 6122 allows a remote authenticated administrator to execute arbitrary operating OS commands as SYSTEM via the policy custom script feature. Due to the use of a default administrator password, attackers may be able to abuse this functionality with minimal effort. Additionally, a remote and partially authenticated attacker may be able to inject arbitrary commands into the custom script due to an unsanitized password field.
CVE更新日: 2022-04-18 13:15:08.233000
CVSSバージョン: 3.1
CVSSスコア: 6.8
KEVの情報
KEV更新日: 2023-03-07
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.709660000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2022-28810に関する脆弱性の調査結果を以下にまとめます。
1. 脆弱性の概要
CVE-2022-28810は、Zoho ManageEngine ADSelfService Plusに存在するコマンドインジェクションの脆弱性です。この脆弱性は、リモートの認証された管理者が、ポリシーのカスタムスクリプト機能を通じて、SYSTEMレベルの権限で任意のオペレーティングシステムコマンドを実行することを可能にします。また、部分的に認証された攻撃者でも、サニタイズされていないパスワードフィールドを介して、カスタムスクリプト機能に任意のコマンドを注入できる可能性があります。この脆弱性は、デフォルトの管理者パスワードが使用されている場合に、攻撃者が容易に悪用できるため、リスクが著しく増大します。
1.1 影響 攻撃者がこの脆弱性を悪用した場合、ADSelfService PlusをホストしているWindowsサーバー上で、SYSTEMレベルの権限で任意のOSコマンドが実行されます。これにより、システムが完全に制御される可能性があり、Active Directoryの認証情報を含む重要なアイデンティティインフラストラクチャに攻撃者がアクセスする恐れがあります。
1.2 深刻度 この脆弱性の深刻度は「高」と評価されています。CVSSスコアは6.8とされていますが、ManageEngine ADSelfService PlusがActive Directoryの資格情報を扱うという文脈から、このスコアは実際の危険性を過小評価していると指摘されています。米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の既知の悪用されている脆弱性（KEV）カタログに登録されており、実世界での活発な悪用が確認されています。30日以内の悪用確率はEPSSで71%と高く評価されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン この脆弱性の影響を受けるのは、Zoho ManageEngine ADSelfService Plusのビルド6122より前のバージョンです。 具体的なOSバージョンについては、製品がホストされているWindowsサーバー上でSYSTEM権限でのコマンド実行が可能となるため、製品が動作するWindowsサーバーが影響を受ける環境となりますが、特定のOSバージョンが明示的に記載されている情報は見当たりませんでした。
2.2 影響を受ける設定 本脆弱性は、ManageEngine ADSelfService Plusの「ポリシーのカスタムスクリプト機能」における入力の不適切なサニタイズに起因します。特に、デフォルトの管理者パスワード（admin）が使用されている場合に、容易に悪用される可能性があります。
3. 影響を受けた時の兆候
4. 推奨対策
4.1 本対策 * ベンダーの指示に従ってアップデートを適用してください。 * ManageEngineは、2022年4月9日にリリースされたADSelfService Plusのビルド6122で、CVE-2022-28810の脆弱性を修正済みです。影響を受ける製品を使用している場合は、直ちにビルド6122以降にパッチを適用してください。 * パッチ適用後、公開されているすべてのデバイスで展開が検証されていることを確認してください。 * CISAは、連邦政府機関に対し、2023年3月28日までにこの脆弱性への対処を義務付けていました。
4.2 暫定回避策（緩和策） 明確な暫定回避策は特定されていませんが、脆弱性の悪用を容易にする要因としてデフォルトの管理者パスワードの使用が挙げられているため、デフォルトの管理者パスワードを変更することは、認証された管理者による悪用を困難にする上で重要な緩和策となります。また、本質的には入力サニタイズの欠陥が原因であるため、パッチ適用が最も効果的な対策です。
参照したサイト
その他解説すべき観点