ManageEngine ServiceDesk Plus ユーザーおよびドメインの列挙
medium Nessus プラグイン ID 86444
Language:
概要
リモートのWebサーバーは、情報漏えいの脆弱性の影響を受けます。説明
リモート Web サーバーで実行しているインストール済みのバージョンの ManageEngine ServiceDesk Plus は情報漏洩の脆弱性による影響を受けます。これは「checkUser」または「searchLocalAuthDomain」アクションを伴うリクエストの処理時に発生する、/servlet/AJaxServlet スクリプトにある欠陥によるものです。認証されていないリモートの攻撃者がこれを悪用して、AJaxDomainServlet に対するリクエストを繰り返すことで、任意のユーザー名とドメインを列挙する可能性があります。ソリューション
ManageEngine ServiceDesk Plus バージョン 9.0 ビルド 9031 以降にアップグレードし、ユーザーに対してドメインフィルターを無効にしてください。参考資料
http://www.nessus.org/u?d47cebf9
https://www.manageengine.com/products/service-desk/readme.html#readme90
プラグインの詳細
深刻度: Medium
ID: 86444
ファイル名: manageengine_servicedesk_user_domain_enum.nasl
バージョン: 1.7
タイプ: remote
ファミリー: CGI abuses
公開日: 2015/10/20
更新日: 2021/1/19
サポートされているセンサー: Nessus
脆弱性情報
CPE: cpe:/a:manageengine:servicedesk_plus
必要な KB アイテム: www/manageengine_servicedesk
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
Nessus によりエクスプロイト済み: true
パッチ公開日: 2014/12/23
脆弱性公開日: 2015/1/23