0Day в серверах Zoho активно эксплуатируется в хакерских атаках

Агентство по кибербезопасности и защите инфраструктуры США (CISA) выпустило предупреждение касательно уязвимости нулевого дня в серверах Zoho ManageEngine, которая уже больше недели активно используется в хакерских атаках.

Проблема ( CVE-2021-40539 ) затрагивает решение по управлению паролями и SSO (single sign-on) Zoho ManageEngine ADSelfService Plus производства индийской компании Zoho Corporation. Уязвимость может использоваться для обхода аутентификации через ADSelfService Plus REST API URL и выполнения вредоносного кода на уязвимом сервере. Проблема исправлена в сборке ADSelfService Plus 6114.

По словам аналитика ИБ-компании CrowdStrike Мэтта Даля (Matt Dahl), некоторые свидетельства указывают на то, что атаки могут быть делом рук одной группировки. Пока нет информации о наличии PoC-кода или технических подробностей уязвимости.

Согласно предупреждению Zoho, на компрометацию сервера указывает наличие следующих логов в папке \ManageEngine\ADSelfService Plus\logs:

/RestAPI/LogonCustomization

/RestAPI/Connection

На текущий момент, в Сети доступно более 11 тыс. серверов Zoho ManageEngine.