Trusted DesignCVE-2022-47966 の詳細
CVEの情報
説明:
Multiple Zoho ManageEngine on-premise products, such as ServiceDesk Plus through 14003, allow remote code execution due to use of Apache Santuario xmlsec (aka XML Security for Java) 1.4.1, because the xmlsec XSLT features, by design in that version, make the application responsible for certain security protections, and the ManageEngine applications did not provide those protections. This affects Access Manager Plus before 4308, Active Directory 360 before 4310, ADAudit Plus before 7081, ADManager Plus before 7162, ADSelfService Plus before 6211, Analytics Plus before 5150, Application Control Plus before 10.1.2220.18, Asset Explorer before 6983, Browser Security Plus before 11.1.2238.6, Device Control Plus before 10.1.2220.18, Endpoint Central before 10.1.2228.11, Endpoint Central MSP before 10.1.2228.11, Endpoint DLP before 10.1.2137.6, Key Manager Plus before 6401, OS Deployer before 1.1.2243.1, PAM 360 before 5713, Password Manager Pro before 12124, Patch Manager Plus before 10.1.2220.18, Remote Access Plus before 10.1.2228.11, Remote Monitoring and Management (RMM) before 10.1.41. ServiceDesk Plus before 14004, ServiceDesk Plus MSP before 13001, SupportCenter Plus before 11026, and Vulnerability Manager Plus before 10.1.2220.18. Exploitation is only possible if SAML SSO has ever been configured for a product (for some products, exploitation requires that SAML SSO is currently active).
CVE更新日: 2023-01-18 18:15:10.570000
CVSSバージョン: 3.1
CVSSスコア: 9.8
KEVの情報
KEV更新日: 2023-01-23
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.997530000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2022-47966は、複数のManageEngine製品に影響を与えるリモートコード実行の脆弱性です。以下に詳細を解説します。
1. 脆弱性の概要
CVE-2022-47966は、Zoho ManageEngineのオンプレミス製品に存在する、認証されていないリモートコード実行（RCE）の脆弱性です。この脆弱性は、ManageEngine製品がApache Santuario xmlsec (XML Security for Java) の古いバージョン1.4.1を使用していることに起因します。このバージョンのxmlsecライブラリでは、設計上、XML署名の検証前にXSLT変換が実行されるため、認証されていない攻撃者が細工されたSAML応答内に悪意のあるXSLTコードを注入し、任意のコードを実行できる可能性があります。
1.1 影響
認証されていない攻撃者が脆弱なシステム上で任意のコードを実行し、システムを完全に制御する可能性があります。これにより、データの窃取、マルウェアのインストール、運用の中断などが発生するおそれがあります。
1.2 深刻度
この脆弱性の深刻度は「緊急（Critical）」と評価されており、CVSS v3.1スコアは9.8です。
2. 対象となる環境
2.1 影響を受けるOSバージョン
この脆弱性は特定のOSバージョンに依存するものではなく、Zoho ManageEngineの複数のオンプレミス製品に影響を与えます。
影響を受ける製品とバージョン（パッチ適用前のバージョン）: * Access Manager Plus: 4308未満 * Active Directory 360: 4310未満 * ADAudit Plus: 7081未満 * ADManager Plus: 7162未満 (または7161以下) * ADSelfService Plus: 6211未満 * Analytics Plus: 5150未満 * Application Control Plus: 10.1.2220.18未満 * Asset Explorer: 6983未満 * Browser Security Plus: 11.1.2238.6未満 * Device Control Plus: 10.1.2220.18未満 * Endpoint Central: 10.1.2228.11未満 * Endpoint Central MSP: 10.1.2228.11未満 * Endpoint DLP: 10.1.2137.6未満 * Key Manager Plus: 6401未満 * OS Deployer: 1.1.2243.1未満 * PAM 360: 5713未満 * Password Manager Pro: 12124未満 * Patch Manager Plus: 10.1.2220.18未満 * Remote Access Plus: 10.1.2228.11未満 * Remote Monitoring and Management (RMM): 10.1.41未満 * ServiceDesk Plus: 14004未満 (または14003以下) * ServiceDesk Plus MSP: 13001未満 (または13000以下) * SupportCenter Plus: 11026未満 (または11017～11025) * Vulnerability Manager Plus: 10.1.2220.18未満
2.2 影響を受ける設定
3. 影響を受けた時の兆候
4. 推奨対策
4.1 本対策
影響を受けるManageEngine製品を、ベンダーが提供するパッチが適用されたバージョンに速やかにアップデートしてください。パッチは2022年10月および11月にリリースされています。 各製品の具体的なパッチ適用後のバージョンについては、ManageEngineの公式セキュリティアドバイザリ（CVE-2022-47966向け）を参照してください。例えば、ADManager Plusの場合、ビルド7161以下からビルド7171以降へアップグレードする必要があります。
4.2 暫定回避策（緩和策）
明確な暫定回避策は不明です。この脆弱性の根本原因が古いライブラリと不適切な実装にあるため、パッチ適用が最も効果的かつ推奨される対策です。
参照したサイト