CVE-2021-40539-Zoho ManageEngine ADSelfService Plus从bypass到RCE

目录

1.漏洞信息

2.调试配置

3.Restful API认证绕过

4.任意文件上传

5.命令注入

6.后记

7.参考

---

希望获取更多关于漏洞情报的朋友们，敬请关注微信公众号：且听安全。 聪明之人能于无声处听到信息，明智之人能在未显现之时察觉趋势；专注于网络安全领域，追踪漏洞的发展动态；摒弃内容的简单复制，致力于打造高质量的原创内容。

1.漏洞信息

2021年9月，Zoho官方网站公布了针对CVE-2021-40539漏洞的修复补丁：CVE-2021-40539。根据相关说明，该漏洞属于认证机制缺陷，可能导致未授权访问。受影响的版本范围为ADSelfService Plus builds up to 6113，而此问题在后续发布的ADSelfService Plus build 6114版本中已被彻底解决。该安全缺陷存在于Restful API接口中，攻击者可通过精心设计的URL请求，在无需身份验证的情况下实现远程代码执行。官方