Trusted Design

CVE-2021-40539 の詳細

CVEの情報

説明:
Zoho ManageEngine ADSelfService Plus version 6113 and prior is vulnerable to REST API authentication bypass with resultant remote code execution.

CVE更新日: 2021-09-07 17:15:07.367000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.944240000

EPSS更新日: 2026-04-23 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2021-40539について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2021-40539は、Zoho ManageEngine ADSelfService PlusのREST APIにおける認証バイパスの脆弱性です。これにより、リモートから任意のコード実行 (RCE) が可能になります。 この脆弱性は、実際に攻撃に悪用されていることが確認されています。

1.1 影響

リモートの非認証の攻撃者は、特別に細工されたリクエストを送信することで認証をバイパスし、リモートで任意のコードを実行できます。 攻撃が成功すると、Webシェルを展開して永続性を確立したり、管理者資格情報を窃取したり、横方向の移動、レジストリハイブやActive Directoryファイルの流出などの活動が行われる可能性があります。 この脆弱性の悪用は、重要インフラ企業、米国の防衛関連請負業者、学術機関、およびソフトウェアを使用しているその他のエンティティに深刻なリスクをもたらします。

1.2 深刻度

Common Vulnerability Scoring System (CVSS) v3.xのスコアは9.8で、深刻度は最も高い「Critical（緊急）」に分類されています。 National Vulnerability Database (NVD) には、2021年9月7日に公開されました。

2. 対象となる環境

製品名

Zoho ManageEngine ADSelfService Plus

2.1 影響を受けるOSバージョン

特定のOSバージョンの記載はありませんが、Zoho ManageEngine ADSelfService Plusが動作するOSすべてが影響を受ける可能性があります。

2.2 影響を受ける設定

Zoho ManageEngine ADSelfService PlusのREST API機能が利用されている環境が影響を受けます。 特に、ADSelfService Plusがインターネットから直接アクセス可能な状態にある場合、リスクが高まります。

3. 影響を受けた時の兆候

  • アカウントの不正アクセスや不正利用、影響を受けたサーバーから他のサーバーへの不正なファイル共有、不正なパスワードリセットなどの不審な活動。
  • JSPウェブシェル（例: service.cer）や、KdcSponge、NGLite、Godzilla Webshellといった悪性ツールの展開。
  • /ManageEngine/ADSelfService Plus/logs フォルダ内のアクセスログに、以下の文字列が存在する。
    • /RestAPI LogonCustomization
    • /RestAPI /connect
  • 監査レポート（特にパスワードリセットに関するレポートなど）で不審な活動が確認される。

4. 推奨対策

4.1 本対策

  • Zoho ManageEngine ADSelfService Plusを、脆弱性が修正された最新バージョンに直ちにアップデートしてください。
    • 具体的には、ADSelfService Plusビルド6114以降への更新が推奨されます。
    • 日本向けにリリースされている製品では、ビルド6110で本脆弱性は修正されています。グローバル向けリリースでは、ビルド6113以前のすべてのビルドが対象です。

4.2 暫定回避策（緩和策）

  • ManageEngine ADSelfService Plusがインターネットから直接アクセスできないようにしてください。

その他解説すべき観点

  • CISAの既知の悪用されている脆弱性カタログへの掲載: 米国のCISA（サイバーセキュリティ・インフラセキュリティ庁）は、本脆弱性を「Known Exploited Vulnerabilities Catalog」に掲載しており、積極的に悪用されていることを警告しています。
  • APTグループによる悪用: FBI、CISA、およびCGCYBER（米沿岸警備隊サイバーコマンド）は、高度な持続的脅威（APT）攻撃グループが本脆弱性を悪用している可能性が高いと評価しています。 MicrosoftやPalo Alto Networksのセキュリティ研究者も、中国を拠点とする脅威グループがこの脆弱性を標的とした新たなキャンペーンを展開していると報告しています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る