BDU:2023-03411

Опубликовано: 28 дек. 2022

Источник: fstec

CVSS3: 5.8

CVSS2: 5.1

EPSS Низкий

Описание

Уязвимость функции "Add UCS Device" программного обеспечения для мониторинга сети OpManager, OpManager MSP, OpManager Plus связана связана с неверным ограничением XML-ссылок на внешние объекты. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществить SSRF-атаку

Вендор

ZOHO Corp.

Наименование ПО

OpManager

OpManager MSP

OpManager Plus

Версия ПО

до 126168 включительно (OpManager)

до 126168 включительно (OpManager MSP)

до 126168 включительно (OpManager Plus)

Тип ПО

Сетевое средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,1)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://www.manageengine.com/itom/advisory/cve-2022-43473.html

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 81%

0.01477

Низкий

5.8 Medium

CVSS3

5.1 Medium

CVSS2

Связанные уязвимости

CVE-2022-43473

CVSS3: 5.8

nvd

почти 3 года назад

A blind XML External Entity (XXE) vulnerability exists in the Add UCS Device functionality of ManageEngine OpManager 12.6.168. A specially crafted XML file can lead to SSRF. An attacker can serve a malicious XML payload to trigger this vulnerability.

GHSA-mgjg-hm5j-p2wq

CVSS3: 5.4

github