Zoho ManageEngine Seite 12

Zohocorp ManageEngine ADAudit Plus in Versionen unterhalb von 8000 ist anfällig für authentifizierte SQL-Injection im Dashboard. Diese Schwachstelle unterscheidet sich von CVE-2024-36516, die ebenfalls das Dashboard von ADAudit Plus betrifft. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: auf Version 8000 oder neuer aktualisieren.

Zoho ManageEngine ADAudit Plus in Versionen unterhalb von 8000 ist für eine authentifizierte SQL-Injection im Alerts-Modul anfällig. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Auf ADAudit Plus 8000 oder neuer aktualisieren.

Zohocorp ManageEngine ADAudit Plus in Versionen unter 8000 ist anfällig für eine authentifizierte SQL-Injection im Dashboard. Diese Schwachstelle unterscheidet sich von CVE-2024-36515, die ebenfalls das Dashboard von ADAudit Plus betrifft. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Update auf ADAudit Plus 8000 oder neuer.

Zohocorp ManageEngine Endpoint Central ist von einer fehlerhaften Autorisierung in den Konfigurationen für Remote-Office-Deployments betroffen. Betroffen sind Versionen vor 11.3.2416.04 sowie vor 11.3.2400.25. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Update auf 11.3.2416.04 bzw. 11.3.2400.25.

Zohocorp ManageEngine OpManager sowie Remote Monitoring and Management sind in Versionen 128329 und darunter über die Option zum Bereitstellen von Agenten (deploy agent) für authentifizierte Remote-Code-Execution anfällig. Ein authentifizierter Angreifer kann darüber beliebigen Code auf dem betroffenen System ausführen. CVSS-Basiswert: 8.8 (Hoch).

Zohocorp ManageEngine ADAudit Plus in Versionen unterhalb von 8121 ist anfällig für authentifizierte SQL-Injection im Account-Lockout-Bericht. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: auf Version 8121 oder neuer aktualisieren.

Zoho ManageEngine ADAudit Plus in Versionen unterhalb von 8000 ist für eine authentifizierte SQL-Injection in der Option für Aggregatberichte anfällig. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Auf ADAudit Plus 8000 oder neuer aktualisieren.

Zohocorp ManageEngine ADAudit Plus in Versionen unterhalb von 8000 ist für eine authentifizierte SQL-Injection im Reports-Modul anfällig. Ein angemeldeter Angreifer kann darüber manipulierte Datenbankabfragen einschleusen. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Aktualisierung auf die vom Hersteller bereitgestellte fehlerbereinigte Version.

Zohocorp ManageEngine ADAudit Plus ist in den Versionen unterhalb 8121 für eine authentifizierte SQL-Injection in der Berichtsoption für Extranet-Lockouts anfällig. Ein angemeldeter Angreifer kann darüber manipulierte Datenbankabfragen ausführen. CVSS-Basiswert: 8.3 (Hoch).

In einigen Zoom Workplace Apps und Rooms Clients kann ein Pufferüberlauf einem authentifizierten Nutzer über Netzwerkzugriff die Ausweitung seiner Rechte ermöglichen. CVSS-Basiswert: 8.5 (Hoch). Empfohlene Massnahme: Sicherheitsupdate des Herstellers einspielen.

Ein Fehler im Schutzmechanismus mehrerer Zoom-Workplace-Apps und -SDKs erlaubt einem authentifizierten Angreifer mit Netzwerkzugriff die Offenlegung von Informationen. Betroffen sind laut Quelle verschiedene Zoom-Workplace-Anwendungen und die zugehörigen SDKs. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

In der Clipboard Virtual Channel Extension besteht eine Schwachstelle zur Remote Code Execution. Ein Angreifer kann darüber Code aus der Ferne ausführen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Einspielen der bereitgestellten Microsoft-Sicherheitsupdates.

Zohocorp ManageEngine ADAudit Plus ist in den Versionen unterhalb 8003 für eine authentifizierte SQL-Injection in der Suchoption der Aggregatberichte anfällig. Ein angemeldeter Angreifer kann darüber manipulierte Datenbankabfragen ausführen. CVSS-Basiswert: 8.3 (Hoch).

In Zoho ManageEngine ADAudit Plus vor Version 8003 besteht eine authentifizierte SQL-Injection in der Aufzeichnung von Benutzersitzungen. Ein angemeldeter Angreifer kann darüber Datenbankabfragen manipulieren. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Aktualisierung auf ADAudit Plus 8003 oder neuer.

Zohocorp ManageEngine ADAudit Plus in Versionen unter Build 8110 ist im Dashboard des Attack Surface Analyzer anfällig für authentifizierte SQL-Injection. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Aktualisierung auf Build 8110 oder neuer.

Zohocorp ManageEngine ADAudit Plus in Versionen unter 8110 ist anfällig für eine authentifizierte SQL-Injection in der Export-Option des Attack-Surface-Analyzers. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Update auf ADAudit Plus 8110 oder neuer.

Zohocorp ManageEngine ADAudit Plus in Versionen unter Build 8110 ist in der Konfiguration des Dateiauditings anfällig für authentifizierte SQL-Injection. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Aktualisierung auf Build 8110 oder neuer.

In der Web-Komponente von Ivanti EPMM vor Version 12.1.0.1 besteht eine unsichere Deserialisierung, die einem authentifizierten entfernten Angreifer die Ausführung beliebiger Betriebssystembefehle auf der Appliance erlaubt. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf EPMM 12.1.0.1 oder neuer aktualisieren.

Eine unzureichende Prüfung der Authentifizierungskontrollen in EPMM vor Version 12.1.0.1 erlaubt einem entfernten Angreifer, die Authentifizierung zu umgehen und auf sensible Ressourcen zuzugreifen. CVSS-Basiswert: 7.5 (Hoch).

Eine nicht näher spezifizierte SQL-Injection-Schwachstelle im Core-Server von Ivanti EPM 2024 erlaubt es einem authentifizierten Angreifer im selben Netzwerk, beliebigen Code auszuführen. CVSS-Basiswert: 8.0 (Hoch).

Zohocorp ManageEngine Exchange Reporter Plus in den Versionen 5717 und darunter ist für eine authentifizierte SQL-Injection im Reports-Modul anfällig. Ein angemeldeter Angreifer kann darüber manipulierte Datenbankabfragen einschleusen. CVSS-Basiswert: 8.3 (Hoch).

Zohocorp ManageEngine Exchange Reporter Plus ist in den Versionen 5717 und älter für eine authentifizierte SQL-Injection im Monitoring-Modul anfällig. Ein angemeldeter Angreifer kann darüber manipulierte Datenbankabfragen ausführen. CVSS-Basiswert: 8.3 (Hoch).

In provd vor Version 0.1.5 besteht durch ein setuid-Binary eine Schwachstelle, über die ein lokaler Angreifer seine Rechte ausweiten kann. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf provd 0.1.5 oder neuer.

Zohocorp ManageEngine DDI Central in Versionen 4001 und früher war aufgrund fest codierter sensibler Schlüssel anfällig für eine Agent-Übernahme. Ein Angreifer kann dadurch die Kontrolle über betroffene Agents erlangen. CVSS-Basiswert: 8.8 (Hoch).

In der Edge-Browser-Session-Proxy-Funktion von Devolutions Remote Desktop Manager (Version 2024.2.14.0 und früher) können sensible Informationen offengelegt werden. Über eine speziell präparierte Webseite kann ein Angreifer Proxy-Zugangsdaten abfangen, wobei eine Nutzerinteraktion erforderlich ist. CVSS-Basiswert: 7.4 (Hoch).

Im Installer einiger Zoom-Apps für Windows besteht eine unzureichende Eingabevalidierung. Ein authentifizierter Benutzer mit lokalem Zugriff kann dadurch seine Rechte auf dem System ausweiten. CVSS-Basiswert: 7.1 (Hoch).

Im Installer einiger Zoom Apps und SDKs für Windows vor Version 6.0.0 besteht eine Race Condition. Ein authentifizierter Benutzer mit lokalem Zugriff kann dies zur Rechteausweitung ausnutzen. CVSS-Basiswert: 7.1 (Hoch).

Eine unzureichende Neutralisierung von Sonderzeichen in einem SQL-Befehl (SQL-Injection) betrifft Zoho Marketing Automation. Angreifer können darüber manipulierte SQL-Anweisungen einschleusen. Betroffen sind Versionen bis einschliesslich 1.2.7. CVSS-Basiswert: 8.5 (Hoch).

In Docker Desktop vor Version 4.29.0 kann ein Angreifer, der durch einen Container-Breakout bereits Zugriff auf die Docker-Desktop-VM erlangt hat, durch das Versenden von Extension- und Dashboard-bezogenen IPC-Nachrichten zusätzlich auf den Host ausbrechen. CVSS-Basiswert: 7.0 (Hoch). Die Ausnutzung setzt voraus, dass die Einstellung „Allow only extensions distributed through the Docker Marketplace“ deaktiviert ist. Empfohlene Massnahme: Update auf Version 4.29.0 (behebt die Lücke) beziehungsweise 4.31.0 (aktiviert die schützende Einstellung standardmässig).

In der Python-Bibliothek kjd/idna (Version 3.6) kann die Funktion idna.encode() bei präparierten Eingabestrings mit quadratisch steigendem Rechenaufwand verarbeitet werden, wodurch die Verarbeitungszeit deutlich zunimmt und ein Denial of Service entstehen kann. CVSS-Basiswert: 7.5 (Hoch).

Im BIOS bestimmter HP-PC-Produkte wurde eine potenzielle Time-of-Check-to-Time-of-Use-Schwachstelle (TOCTOU) identifiziert, die beliebige Codeausführung, Denial-of-Service und Offenlegung von Informationen ermöglichen könnte. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: HP stellt BIOS-Updates zur Behebung der potenziellen Schwachstelle bereit, diese sollten eingespielt werden.

Im PAM-Dashboard von Devolutions Remote Desktop Manager 2024.2.11 und früheren Versionen unter Windows besteht eine unzureichende Zugriffskontrolle. Ein authentifizierter Benutzer kann dadurch die Ausführungsberechtigung über das PAM-Dashboard umgehen. CVSS-Basiswert: 7.2 (Hoch).

In Parallels Desktop Software vor Version 19.3.0 besteht eine Schwachstelle bei der Rechteverwaltung. Ein Angreifer kann bösartigen Code in ein Skript einfügen und die Umgebungsvariable BASH_ENV mit dem Pfad zu diesem Skript befüllen, das dann beim Anwendungsstart ausgeführt wird. Dadurch kann ein Angreifer die Schwachstelle zur Rechteausweitung auf dem System ausnutzen. CVSS-Basiswert: 7.7 (Hoch).

Im Updater-Dienst von Parallels Desktop fehlt eine ausreichende Prüfung der Versionsinformationen vor einem Update, wodurch lokale Angreifer die Parallels-Software auf betroffenen Installationen herabstufen können. Voraussetzung ist, dass der Angreifer zuvor niedrig privilegierten Code auf dem Zielsystem ausführen kann. In Kombination mit weiteren Schwachstellen lässt sich darüber eine Rechteausweitung bis zur Codeausführung im Root-Kontext erreichen (ZDI-CAN-19481). CVSS-Basiswert: 7.8 (Hoch).

Die Dropbox-Desktop-Anwendung wendet beim Synchronisieren von Dateien aus einem freigegebenen Ordner eines nicht vertrauenswürdigen Kontos die Mark-of-the-Web-Kennzeichnung nicht auf lokale Dateien an. Ein Angreifer kann diese Schwachstelle ausnutzen, um beliebigen Code im Kontext des aktuellen Benutzers auszuführen. Eine Nutzerinteraktion ist erforderlich, das Ziel muss eine bösartige Seite besuchen oder eine bösartige Datei öffnen. CVSS-Basiswert: 8.8 (Hoch).

Adobe Creative Cloud Desktop ist in Versionen bis einschliesslich 6.1.0.587 von einer Schwachstelle durch einen unkontrollierten Suchpfad (Uncontrolled Search Path Element) betroffen, die zur Umgehung einer Sicherheitsfunktion führen kann. Ein Angreifer kann dadurch bösartige Bibliotheken laden und ausführen lassen, was bis zum beliebigen Löschen von Dateien reichen kann. Die Ausnutzung setzt eine Interaktion des Benutzers voraus. CVSS-Basiswert: 7.1 (Hoch).

Eine nicht näher spezifizierte SQL-Injection im Core-Server von Ivanti EPM 2022 SU5 und früher erlaubt einem nicht authentifizierten Angreifer im selben Netzwerk die Ausführung beliebigen Codes. Die Lücke lässt sich ohne vorherige Anmeldung ausnutzen. CVSS-Basiswert: 8.8 (Hoch).

Eine nicht naeher spezifizierte SQL-Injection-Schwachstelle im Core Server von Ivanti EPM 2022 SU5 und aelter erlaubt einem nicht authentifizierten Angreifer im selben Netzwerk die Ausführung beliebigen Codes. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: die vom Hersteller bereitgestellten Sicherheitsupdates einspielen.

Eine SQL-Injection im Core-Server von Ivanti EPM 2022 SU5 und früher erlaubt einem nicht authentifizierten Angreifer im selben Netzwerk die Ausführung von beliebigem Code. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Bereitgestellte Hersteller-Updates einspielen.

Eine nicht näher spezifizierte SQL-Injection-Schwachstelle im Core-Server von Ivanti EPM 2022 SU5 und früher erlaubt es einem nicht authentifizierten Angreifer aus demselben Netzwerk, beliebigen Code auszuführen. CVSS-Basiswert: 8.8 (Hoch).

Eine nicht näher spezifizierte SQL-Injection im Core-Server von Ivanti EPM 2022 SU5 und älter erlaubt einem nicht authentifizierten Angreifer im selben Netzwerk die Ausführung beliebigen Codes. CVSS-Basiswert: 8.8 (Hoch).

Eine nicht näher spezifizierte SQL-Injection-Schwachstelle im Core-Server von Ivanti EPM 2022 SU5 und früher erlaubt es einem authentifizierten Angreifer im selben Netzwerk, beliebigen Code auszuführen. CVSS-Basiswert: 8.0 (Hoch).

Im Core-Server von Ivanti EPM 2022 SU5 und früher besteht eine nicht näher spezifizierte SQL-Injection-Schwachstelle. Ein authentifizierter Angreifer im selben Netzwerk kann sie ausnutzen, um beliebigen Code auszuführen. CVSS-Basiswert: 8 (Hoch).

Eine nicht naeher spezifizierte SQL-Injection-Schwachstelle im Core Server von Ivanti EPM 2022 SU5 und aelter erlaubt einem authentifizierten Angreifer im selben Netzwerk die Ausfuehrung von beliebigem Code. CVSS-Basiswert: 8.0 (Hoch).

In Ivanti EPM 2021.1 und älteren Versionen ermöglicht ein Pufferüberlauf einem Benutzer mit niedrigen Rechten auf dem lokalen Rechner mit installiertem EPM Agent die Ausführung von beliebigem Code mit erhöhten Rechten. CVSS-Basiswert: 7.8 (Hoch).

Eine nicht näher spezifizierte SQL-Injection-Schwachstelle im Core Server von Ivanti EPM 2022 SU5 und früheren Versionen erlaubt einem authentifizierten Angreifer im selben Netzwerk die Ausführung von beliebigem Code. Der Angriff erfordert Zugriff aus dem angrenzenden Netzwerk sowie ein Konto mit niedrigen Rechten; eine Benutzerinteraktion ist nicht nötig. CVSS-Basiswert: 8 (Hoch). Betroffen sind laut NVD Ivanti EPM 2022 SU5 und frühere Versionen.

Zoho ManageEngine ADAudit Plus ist in Versionen unter 7271 anfällig für SQL-Injection beim Abruf aggregierter Berichtsdaten. Betroffen ist das Produkt ADAudit Plus des Herstellers Zoho. CVSS-Basiswert: 8.3 (Hoch).

Zoho ManageEngine ADAudit Plus in Versionen unterhalb von 7271 erlaubt SQL-Injection beim Hinzufügen von Dateifreigaben. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: auf Version 7271 oder neuer aktualisieren.

Zoho ManageEngine ADAudit Plus in Versionen unterhalb 7271 erlaubt eine SQL-Injection in der Suchoption der Aggregatberichte. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 7271 oder neuer.

Zoho ManageEngine ADAudit Plus in Versionen unter 7271 erlaubt eine SQL-Injection in der Dashboard-Graph-Funktion. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Update auf ADAudit Plus 7271 oder neuer.