CVE-2021-40539 – Bypass de Autenticação no Zoho ManageEngine ADSelfService Plus
A vulnerabilidade CVE-2021-40539 permite contornar a autenticação da API REST do Zoho ManageEngine ADSelfService Plus, possibilitando execução remota de código. O vetor de ataque é de rede, com baixa complexidade e sem necessidade de privilégios ou interação do usuário. O EPSS indica 99% de chance de exploração nos próximos 30 dias e a CISA já confirmou exploração ativa. O risco é crítico, exigindo correção imediata. A prioridade de mitigação é alta para todos os ambientes que utilizam o produto.
Dados confirmados por NVD, EPSS com alta pontuação, e inclusão no catálogo CISA KEV com exploração ativa e prazo de mitigação obrigatório.
O que aconteceu
Uma falha de autenticação na API REST permite que um atacante envie requisições mal‑formadas e obtenha acesso não autorizado, culminando em execução de código arbitrário no servidor. O CVSS 3.1 (AV:N/AC:L/PR:N/UI:N) reflete que o ataque pode ser realizado remotamente, com baixa complexidade, sem privilégios nem interação do usuário, resultando em impactos máximos de confidencialidade, integridade e disponibilidade. O EPSS de 99% indica que exploits estão amplamente disponíveis e a probabilidade de uso nos próximos 30 dias é extremamente alta.
Por que isso importa
Um invasor pode instalar backdoors, exfiltrar dados sensíveis ou interromper serviços críticos, afetando a continuidade de negócios. Como a vulnerabilidade afeta a camada de autenticação, qualquer conta válida pode ser comprometida, ampliando o alcance do ataque. Organizações que dependem do ADSelfService Plus para gerenciamento de senhas ficam expostas a comprometimento total do ambiente de identidade.
Quem está em risco
Organizações que utilizam Zoho ManageEngine ADSelfService Plus (versões < 6.1). Setores gerais em todo o mundo, especialmente ambientes que expõem a API REST a redes externas.
Detalhes técnicos
Vetor de ataque: NETWORK, Complexidade: LOW, Privilégios: NONE, UI: NONE. CWE‑706 (Improper Authentication). Exploração via chamadas não autenticadas à API REST que executam código no servidor. Técnica MITRE ATT&CK: T1190 (Exploitation of Public-Facing Application) e T1059 (Command‑and‑Control – Execution via API). PoC disponível em http://packetstormsecurity.com/files/165085/ManageEngine-ADSelfService-Plus-Authentication-Bypass-Code-Execution.html.
IOCs Identificados
Nenhum IOC estruturado foi identificado na fonte original.
Consulte a fonte diretamente para busca manual de indicadores.
Ações recomendadas
- 1
Atualize o Zoho ManageEngine ADSelfService Plus para a versão 6.1 ou superior, conforme instruções do vendor.
- 2
Aplique imediatamente as correções publicadas nos links de patch da ManageEngine (https://www.manageengine.com/products/self-service-password/kb/how-to-fix-authentication-bypass-vulnerability-in-REST-API.html).
- 3
Desative ou restrinja o acesso à API REST a partir de redes não confiáveis usando firewalls de aplicação ou listas de controle de acesso (ACLs).
Sugestões de detecção
- ›
Monitore logs de servidor web (ex.: Apache/Nginx access.log) para requisições ao caminho /api/* que retornem códigos 200 sem cabeçalho de autorização; filtre por IP externo e parâmetros incomuns.
- ›
Crie regra de SIEM que correlacione eventos de criação de processos inesperados (Windows Event ID 4688 ou Linux auditd execve) iniciados por serviços do ManageEngine logo após chamadas à API REST suspeitas.
- ›
Verifique logs de autenticação do ManageEngine para tentativas de login falhas seguidas de chamadas bem‑sucedidas à API sem token válido.
Falsos positivos
Sem IOCs estruturados; chamadas legítimas à API podem gerar alertas semelhantes. Ajuste filtros por origem confiável e padrões de uso normal para reduzir falsos positivos.