【修正済】Desktop Centralの脆弱性(CVE-2020-24397)について
作成日:2020年10月13日 | 更新日:2020年10月22日
【既知の不具合】Desktop Centralの脆弱性(CVE-2020-24397)について
【対象ビルド】
Desktop Central 10.0.534
また、関連する脆弱性として CVE-2020-15588 が報告されています。
【問題】
上記対象ビルドのDesktop Centralには整数オーバーフローの脆弱性が存在します。( CVE-2020-15588 )。
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=2020-24397(CVE,英語)
- https://nvd.nist.gov/vuln/detail/CVE-2020-24397(米国国立標準技術研究所, 英語)
- https://www.manageengine.com/products/desktop-central/integer-overflow-vulnerability.html(Zoho Corporation, 英語)
【詳細】
Desktop Centralサーバーが何らかの手段で攻撃者によって操作された場合、エージェント側に存在する本脆弱性によって、ヘッダー値に不正な値を入力することで、ヒープベースのバッファオーバーフロー攻撃による、システム権限でのリモートコード実行の可能性があります。
本脆弱性は、管理対象側に存在するため、単独でのリモートコード実行の可能性は極めて低いと考えられます。実行可能な最大級の被害としては、エージェント実行ファイルのクラッシュが考えられます。
本脆弱性は、pat0is氏によって報告されました。
本脆弱性は、pat0is氏によって報告されました。
【対処方法】
Desktop Central 10.0.562以降のビルドへアップグレードします。