リモートホストで実行している ManageEngine ServiceDesk Plus のバージョンが、14.0 ビルド 14104 以前です。そのため、以下を含む複数の脆弱性による影響を受けます:

  - 画像アップロードのサービス拒否の脆弱性により、攻撃者は、API メソッドがヘッダーで定義された大きなサイズの小さな画像ファイルを送信することでメモリを割り当てる方法を悪用し、アプリケーションをクラッシュさせたり、応答しなくなったりする可能性があります。(CVE-2023-26601)

  - クエリレポートに権限昇格の脆弱性があるため、攻撃者がクエリで特定の PostgreSQL 関数を利用することで、Postgres データベースシステムの制限付きデータへアクセスし、検証プロセスをバイパスする可能性があります。(CVE-2023-26600)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

ManageEngine ServiceDesk Plus 14.0< ビルド 14104 の複数の脆弱性

medium Nessus プラグイン ID 172578

バージョン 1.2