CVE-2021-44757：Zoho ManageEngine Desktop Central 身份验证绕过漏洞通告
2022-01-18 16:00

报告编号：B6-2022-011801

报告来源：360CERT

报告作者：360CERT

更新日期：2022-01-18

0x01   漏洞简述

2022年01月18日，360CERT监测发现Zoho官方发布了 ManageEngine Desktop Central 的安全通告，漏洞编号为CVE-2021-44757，漏洞等级：严重，漏洞评分：9.8。该漏洞会影响 Desktop Central 和 Desktop Central MSP 统一端点管理 (UEM) 解决方案。

ZOHO ManageEngine Desktop Central（DC）是美国卓豪（ZOHO）公司的一套桌面管理解决方案。该方案包含软件分发、补丁管理、系统配置、远程控制等功能模块，可对桌面机以及服务器管理的整个生命周期提供支持。

对此，360CERT建议广大用户及时为Zoho ManageEngine Desktop Central打补丁。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

0x02   风险等级

360CERT对该漏洞的评定结果如下

评定方式等级
威胁等级严重
影响面广泛
攻击者价值高
利用难度低
360CERT评分9.8

0x03   漏洞详情

CVE-2021-44757: Zoho ManageEngine Desktop Central身份验证绕过漏洞

CVE: CVE-2021-44757

组件: Zoho ManageEngine Desktop Central

漏洞类型: 身份验证绕过

影响: 文件写入/读取

简述: Zoho ManageEngine Desktop Central存在一个身份验证绕过漏洞，该漏洞允许远程攻击者在未授权的情况下，进行数据读取或在目标服务器上写入任意zip文件。该漏洞会影响 Desktop Central 和 Desktop Central MSP 统一端点管理 (UEM) 解决方案。

0x04   相关空间测绘数据

360安全大脑-Quake网络空间测绘系统通过对全网资产测绘，发现Zoho ManageEngine Desktop Central具体分布如下图所示。

0x05   影响版本

组件影响版本安全版本
Zoho ManageEngine Desktop Central<10.1.2137.910.1.2137.9

0x06   修复建议

通用修补建议

根据影响版本中的信息，排查并升级到安全版本. 此漏洞已于 2022 年 1 月 17 日被官方修复,缓解措施在内部版本10.1.2137.9中提供。

具体操作步骤：

1. 登录到Desktop Central控制台，单击右上角的当前内部版本号。

2. 找到目前能适用的最新版本。下载 PPM 并进行更新。

注：如果属于10.1.2140.X到10.1.2149.X的内部版本范围，请通过 desktopcentral-support@manageengine.com 联系ManageEngine的支持团队进行修复。

安全加固指南

1) 将 Desktop Central、Desktop Central MSP 更新到最新版本。

2) 仅向授权用户给予 Desktop Central 服务器、Desktop Central MSP 文件夹的访问权限。

3) 删除未使用的帐户：

i. 从 Desktop Central 和Desktop Central MSP的产品控制台和服务器上删除未使用的用户帐户。

ii. 若配置了 MSSQL，则在安装了 MSSQL 服务器的机器上删除任何未使用的帐户。

0x07   产品侧解决方案

若想了解更多产品信息或有相关业务需求，可移步至http://360.net。

360安全分析响应平台

360安全大脑的安全分析响应平台通过网络流量检测、多传感器数据融合关联分析手段，对该类漏洞的利用进行实时检测和阻断，请用户联系相关产品区域负责人获取对应产品。

360安全卫士团队版

用户可以通过安装360安全卫士并进行全盘杀毒来维护计算机安全。360CERT建议广大用户使用360安全卫士定期对设备进行安全检测，以做好资产自查以及防护工作。

360本地安全大脑

360本地安全大脑是将360云端安全大脑核心能力本地化部署的一套开放式全场景安全运营平台，实现安全态势、监控、分析、溯源、研判、响应、管理的智能化安全运营赋能。360本地安全大脑已支持对相关漏洞利用的检测，请及时更新网络神经元（探针）规则和本地安全大脑关联分析规则，做好防护。

360终端安全管理系统

360终端安全管理系统软件是在360安全大脑极智赋能下，以大数据、云计算等新技术为支撑，以可靠服务为保障，集防病毒与终端安全管控功能于一体的企业级安全产品。

360终端安全管理系统已支持对相关漏洞进行检测和修复，建议用户及时更新漏洞库并安装更新相关补丁。

0x08   时间线

2022-01-17 Zoho官方发布通告

2022-01-18 360CERT发布通告

0x09   参考链接

1、 https://www.manageengine.com/desktop-management-msp/cve-2021-44757.html

2、 https://www.manageengine.com/products/desktop-central/cve-2021-44757.html