Trusted Design

CVE-2022-35405 の詳細

CVEの情報

説明:
Zoho ManageEngine Password Manager Pro before 12101 and PAM360 before 5510 are vulnerable to unauthenticated remote code execution. (This also affects ManageEngine Access Manager Plus before 4303 with authentication.)

CVE更新日: 2022-07-19 15:15:08.680000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-09-22

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999240000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2022-35405に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2022-35405は、Zoho ManageEngineのPassword Manager Pro、PAM360、およびAccess Manager Plusに影響を与える、深刻な不安全なデシリアライゼーション（CWE-502: Deserialization of Untrusted Data）の脆弱性です. この脆弱性は、XML-RPCインターフェースにおけるJavaオブジェクトの不適切なデシリアライゼーション処理に起因します. 攻撃者は、悪意のあるXML-RPCリクエストを介して細工されたJavaシリアライズオブジェクトを送信することで、脆弱なシステム上で任意のコードを実行することが可能です.

1.1 影響

この脆弱性が悪用された場合、以下の影響が生じる可能性があります。 * Password Manager ProおよびPAM360: 認証されていないリモートの攻撃者が、認証なしに任意のコードを実行できます. * Access Manager Plus: 認証されたリモートの攻撃者が、任意のコードを実行できます. * システムを完全に侵害し、保存されているすべてのパスワード、シークレット、特権アクセス資格情報が漏洩する可能性があります. * マルウェアの実行、機密情報の取得、データの改ざん、および侵害されたシステムに対する完全な制御の獲得につながる可能性があります.

1.2 深刻度

  • CVSS v3.1スコア: 9.8 (Critical)
  • CVSS v3.1ベクトル: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • この脆弱性は、CISA (米国サイバーセキュリティ・インフラセキュリティ庁) の既知の悪用されている脆弱性（KEV）カタログに追加されており、実際に悪用が確認されていることを示しています.

2. 対象となる環境

2.1 影響を受けるOSバージョン

特定のOSバージョンではなく、以下のZoho ManageEngine製品のバージョンが影響を受けます。 * Zoho ManageEngine Password Manager Pro バージョン 12100 およびそれ以前 * Zoho ManageEngine PAM360 バージョン 5500 およびそれ以前 * Zoho ManageEngine Access Manager Plus バージョン 4302 およびそれ以前

2.2 影響を受ける設定

  • 脆弱性は、ManageEngineアプリケーションが公開しているXML-RPCインターフェースに存在します.
  • XML-RPCサービスはデフォルトでネットワーク上に公開されており、攻撃者が脆弱なエンドポイントに到達することを容易にしています.
  • Access Manager Plusの場合、悪用には認証が必要ですが、Password Manager ProとPAM360では認証は不要です.

3. 影響を受けた時の兆候

  • シリアライズされたJavaオブジェクトを含む、XML-RPCエンドポイント（/xmlrpcまたは類似のパス）への異常なPOSTリクエスト.
  • ManageEngine Javaプロセスによって予期せぬ子プロセスが生成される.
  • ManageEngineサーバーから外部IPアドレスへの異常なネットワーク接続が開始される.

4. 推奨対策

4.1 本対策

以下のバージョンに直ちにアップデートしてください。 * Password Manager Pro: ビルド 12101 以降 * PAM360: ビルド 5510 以降 * Access Manager Plus: ビルド 4303 以降

この修正は、PAM360およびAccess Manager Plusから脆弱なコンポーネントを完全に削除し、Password Manager Proから脆弱なパーサーを削除することによって行われています.

4.2 暫定回避策（緩和策）

  • パッチをすぐに適用できない場合は、ファイアウォールルールを使用してManageEngineサービスへのネットワークアクセスを制限してください.
  • もしシステムがすでに侵害されている可能性がある場合は、対象の機器をネットワークから切断し、隔離してください。その後、アプリケーションログをzipファイルにまとめ、ManageEngineのサポートチームに送付してください.

他に解説すべき観点

  • 既知の悪用: この脆弱性は、Proof-of-Concept (PoC) エクスプロイトが公開されており、Metasploitモジュールも存在するため、容易に悪用される可能性があります.
  • CISA KEVカタログ: 米国CISAは、連邦政府機関に対し、この脆弱性を2022年10月13日までに修正するよう指示しています。これは、民間組織にとっても優先度の高い対応が必要であることを示唆しています.

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る