ZohoManageEngineDesktopCentral和DesktopCentralMSP平台中的一个严重安全漏洞可能允许攻击者绕过平台的身份验证，据报道。根据该公司周一发布的安全公告，该漏洞(CVE-2021-44757)可能允许远程用户在服务器中执行未经授权的操作。如果被利用，该缺陷可能允许攻击者读取未经授权的数据或在服务器上写入任意.ZIP文件。Zoho的ManageEngineDesktopCentral是一个统一端点管理(UEM)解决方案，使IT管理员能够从单一平台管理服务器、笔记本电脑、台式机、智能手机和平板电脑等设备。根据该公司的文档，用户可以自动执行例行任务，例如安装补丁、部署软件和部署操作系统。它还可用于管理资产和软件许可证、监控软件统计信息、管理USB设备的使用、控制远程桌面等。在移动端，用户可以部署配置文件和相关策略来为Wi-Fi、VPN、电子邮件帐户等配置设备。对应用程序安装、相机使用和浏览器施加限制，并使用密码和远程锁定和擦除功能管理设备安全。因此，该平台提供对组织内设备的访问，如果攻击者利用该漏洞，可能会导致严重的信息泄露。此外，由于该漏洞允许安装.ZIP文件，因此攻击者有可能在DesktopCentral实例管理的所有端点上安装恶意软件。对于MSP版本，它允许托管服务提供商(MSP)为自己的客户提供端点管理，同时该漏洞可用于供应链攻击。网络罪犯可以轻易地破坏MSP的DesktopCentralMSPEdition软件，并有可能获得使用该版本的客户的访问权来管理该软件。ZohoManageEngine周一发布了产品条目，详细说明了该漏洞的补丁状态，鼓励用户更新到最新版本以保护他们的数据。该公司还在产品文章中提供了对DesktopCentral环境进行全面强化的想法。ZohoManageEngine：受到零日攻击的青睐该公司没有说明该漏洞是否已经被犯罪分子利用为零日攻击。但可以肯定的是，如果网络攻击者还没有开始利用这个漏洞，以ManageEngine平台的多功能性，它肯定会是一个非常受攻击者欢迎的平台。例如，在9月，安全专家修补了ZohoManageEngineADSelfServicePlus平台中的一个严重安全漏洞（CVE-2021-40539），该漏洞可能允许远程攻击者绕过用户ActiveDirectory(AD)中的身份验证并在云帐户上进行操作。但根据网络安全和基础设施安全局(CISA)的说法，它在修复之前遭受了多次网络攻击。去年12月，FBI在发现ZohoManageEngine零日漏洞正受到高级持续威胁(APT)组织的主动攻击后，甚至发布了官方警报。此漏洞(CVE-2021-44515)可能允许远程攻击者运行ManageEngineDesktopCentral服务器的功能并执行权限提升操作。它的最终目的是将恶意软件植入组织的网络。本文翻译自：https://threatpost.com/critical-manageengine-desktop-server-bug-malware/177705/如有转载请注明出处。
