CVE-2020-10189: Zoho ManageEngine Desktop Central File Upload RCE
Uma vulnerabilidade de upload de arquivos em Zoho ManageEngine Desktop Central permite execução remota de código sem autenticação. O vetor de ataque é de rede, com baixa complexidade e sem necessidade de privilégios ou interação do usuário. O risco é crítico, com impacto total em confidencialidade, integridade e disponibilidade. A CISA confirmou exploração ativa e exige atualização imediata. A probabilidade de exploração nos próximos 30 dias é de 99.9%.
Dados confirmados por NVD, EPSS com alta pontuação e inclusão no catálogo CISA KEV, indicando exploração ativa e necessidade de mitigação urgente.
O que aconteceu
Um atacante pode enviar um arquivo especialmente criado para o endpoint de upload do Desktop Central, explorando uma falha de desserialização (CWE-502) que resulta em execução de código arbitrário no servidor. O CVSS 3.1 (AV:N/AC:L/PR:N/UI:N) indica que o ataque pode ser realizado remotamente, com baixa complexidade e sem privilégios. O EPSS de 99.94% indica que exploits estão amplamente disponíveis, elevando a urgência da mitigação.
Por que isso importa
A exploração compromete totalmente a confidencialidade, integridade e disponibilidade dos sistemas gerenciados, permitindo controle total do servidor e potencial movimentação lateral. Organizações que utilizam o Desktop Central podem sofrer interrupções de serviço, roubo de dados sensíveis e uso do ambiente para ataques adicionais.
Quem está em risco
Qualquer organização que utilize Zoho ManageEngine Desktop Central versão inferior a 10.0.479, independentemente do setor ou região.
Detalhes técnicos
Vetor de ataque: rede (AV:N). Complexidade: baixa (AC:L). Privilégios exigidos: nenhum (PR:N). Interação do usuário: nenhuma (UI:N). CWE-502 (Desserialização de Dados Não Confiáveis). Técnica ATT&CK: T1190 (Exploração de Aplicação Exposta ao Público) e T1570 (Exfiltração via Upload de Arquivo). Exploit/PoC disponíveis em packetstormsecurity.com e srcincite.io.
IOCs Identificados
Nenhum IOC estruturado foi identificado na fonte original.
Consulte a fonte diretamente para busca manual de indicadores.
Ações recomendadas
- 1
Atualize o Desktop Central para a versão 10.0.479 ou superior, conforme instruções do vendor.
- 2
Aplique imediatamente as correções listadas nos links de patch da ManageEngine.
- 3
Revise e restrinja o acesso ao endpoint de upload, limitando IPs confiáveis e habilitando inspeção de conteúdo.
Sugestões de detecção
- ›
Analise logs de servidor web (ex.: access.log) para requisições POST ao endpoint de upload com extensões incomuns ou payloads grandes; filtre por status 200 e tamanho de arquivo > 1 MB.
- ›
Monitore eventos de criação de processos no Windows (Event ID 4688) ou Linux (auditd execve) iniciados pelo serviço ManageEngine, buscando caminhos de arquivos recém‑criados na pasta de upload.
Falsos positivos
Não há IOCs estruturados; falsos positivos podem ocorrer ao detectar uploads legítimos de arquivos grandes. Correlacione com origem de IP e tipo de arquivo para reduzir ruído.