CVE-2019-8394 – Vulnerabilidade de Upload de Arquivo no Zoho ManageEngine ServiceDesk Plus
A CVE-2019-8394 permite que usuários remotos façam upload de arquivos arbitrários na página de login customizada do Zoho ManageEngine ServiceDesk Plus. A vulnerabilidade tem pontuação CVSS 9.0 (critical) e EPSS de 63,3%, indicando alta probabilidade de exploração nos próximos 30 dias. O CISA KEV confirma exploração ativa em ambientes reais, exigindo correção imediata. O impacto é comprometimento da integridade dos sistemas ao permitir inserção de código malicioso. Prioridade máxima para mitigação.
Dados confirmados por NVD (CVSS), EPSS alto e inclusão no catálogo CISA KEV com prazo de correção obrigatório, indicando alta confiabilidade das informações.
O que aconteceu
Um atacante pode enviar requisições HTTP POST para a página de login customizada e fazer upload de arquivos sem autenticação. O vetor CVSS 3.1 indica ataque via rede (AV:N), baixa complexidade (AC:L), privilégios baixos (PR:L) e nenhuma interação do usuário (UI:N). O escore EPSS de 63,3% reflete alta chance de exploração prática nos próximos 30 dias, reforçando a necessidade de ação rápida.
Por que isso importa
Arquivos maliciosos podem ser executados pelo ServiceDesk Plus, alterando dados, instalando backdoors ou comprometendo outros sistemas integrados. A integridade dos processos de TI fica em risco, podendo gerar interrupções e perdas de confiança nos serviços de suporte. Organizações que dependem do SDP para gerenciamento de tickets ficam expostas a escalada de privilégios e movimentação lateral.
Quem está em risco
Qualquer organização que utilize Zoho ManageEngine ServiceDesk Plus versão inferior a 10.0.0, independentemente do setor ou região. Ambientes on‑premises ou cloud que exponham a página de login customizada estão vulneráveis.
Detalhes técnicos
Vetores de ataque: NETWORK; Complexidade: LOW; Privilégios exigidos: LOW; Interação do usuário: NONE. CWE‑434 (Unrestricted Upload of File with Dangerous Type). Exploração pública da aplicação (MITRE ATT&CK T1190). O exploit permite upload de arquivos executáveis que podem ser acionados pelo servidor. Referências de PoC: https://www.exploit-db.com/exploits/46413/. Versões vulneráveis: < 10.0.0.
IOCs Identificados
Nenhum IOC estruturado foi identificado na fonte original.
Consulte a fonte diretamente para busca manual de indicadores.
Ações recomendadas
- 1
Atualize o ServiceDesk Plus para a versão 10.0.0 ou superior antes de 2022‑05‑03, conforme instruções do vendor.
- 2
Inventarie e remova todas as instâncias que ainda executem versões <10.0.0 do ServiceDesk Plus.
- 3
Monitore os endpoints de upload de arquivos (ex.: /login/customization) para tipos de arquivo não permitidos e tamanhos anômalos, bloqueando extensões executáveis.
Sugestões de detecção
- ›
Consulte logs de servidor web (Apache/Nginx/IIS) por requisições POST a */login/customization* com cabeçalho multipart/form-data; filtre por extensões .jsp, .exe, .php e verifique respostas HTTP 200.
- ›
Crie regra no SIEM para eventos Windows Security (ID 4688) onde o processo ServiceDesk Plus cria arquivos em diretórios temporários logo após um upload externo; correlacione com origem IP externa.
Falsos positivos
Não há IOCs estruturados; uploads legítimos de arquivos podem gerar alertas semelhantes. Ajuste filtros por extensão e tamanho para reduzir falsos positivos.