CVE-2019-19774
Açıklama
Zoho ManageEngine EventLog Analyzer 10.0 SP1'in Build 12110 öncesindeki sürümlerinde bir sorun tespit edilmiştir. /event/runquery.do uç noktasında "select hostdetails from hostdetails" komutu çalıştırılarak, yönetici kullanıcıların bile veritabanında saklanan kimlik bilgisi verilerini görüntülemesini engelleyen güvenlik kısıtlamalarının atlatılması ve ManageEngine platformunun ağdaki yönetilen makinelere kimlik doğrulaması yapmak için kullandığı hesapların (çoğunlukla yönetici hesapları) MD5 özetlerinin geri getirilmesi mümkündür. Spesifik olarak bu durum; sorguların parola ifadesini içeremeyeceği ve sorgu sonuçlarının bir parola sütununa sahip olamayacağı yönündeki kısıtlamaları atlatmaktadır.
Nasıl düzeltilir
- zohocorp manageengine_eventlog_analyzer12.1.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| zohocorp manageengine_eventlog_analyzer | 10.0 ≤ v < 12.1.1 | 12.1.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.