ManageEngine 曝出严重漏洞，攻击者无需身份验证即可远程运行代码
消息来源:baojiabao.com 作者: 发布时间：2026-02-14
最新 1 月 17 日消息，来自 Horizon3 Attack Team 的网络安全研究人员公布了一个概念验证 (PoC) 漏洞，这一漏洞存在于诸多 VMware 产品中。
据介绍，CVE-2022-47966 漏洞可允许攻击者无需身份验证即可在 ManageEngine 服务器中远程执行代码，而这些服务器在之前的某个时间点启用了基于 saml 的单点登录（SSO）协议，因此关闭该功能也无法解决任何问题。
研究人员指出，易受攻击的端点使用了一种名为 Apache Santuario 的过时第三方依赖项，就是这个原因导致攻击者可以通过 NT AUTHORITY\SYSTEM 身份远程执行代码，从而完全控制系统。
目前来看，这个漏洞很容易被利用，并且是攻击者在网上"'spray and pray"的有利方式。研究人员警告说，该漏洞允许作为 NT AUTHORITY\SYSTEM 远程执行代码，基本上可以使攻击者完全控制该系统"。
"如果用户确定他们的信息被泄露了，就需要进行额外的调查，以确定攻击者所造成的损害。一旦攻击者获取到对端点的系统级访问权限，攻击者就可能开始通过 LSASS 转储凭据或者利用现有的公共工具来访问存储的应用程序凭据，以进行横向转移。"
最新提醒，目前 Zoho 已经发布了相应的补丁，有需要的用户请尽快下载。
值得一提的是，研究人员通过 Shodan 搜索未打补丁的端点后依然发现了"数千个"易受攻击的 ManageEngine 产品、ServiceDesk Plus 和 Endpoint Central 实例，希望大家提高警惕。
目前，业内还没有关于 CVE-2022-47966 被恶意利用的报告，但如果 IT 管理员选择无视这一漏洞，则早晚会出现受害者。
2023-02-12 19:04:33相关文章
炒港股要补交多少税？我也接到催交补税特别行动的电话了2025-07-23 17:36:43
淘宝天猫仅退款属于诈骗吗？淘宝天猫开始部分取消仅退款2024-10-01 13:01:28
- 哈啰app借钱|哈啰借钱app下载安装免费小小上当和电话骚扰
2024-10-01 11:22:38
- 白嫖党｜山西大同大学学生网购申请“仅退款”被拒骂客服一小时
2024-09-27 09:10:44
- 北大数学教授袁新意《姜萍事件的疑点分析》点评姜萍板书 阿里巴巴竞赛受质疑
2024-06-28 10:07:40
天猫新规可以无条件申请“仅退款”了？淘宝天猫又离狗多多零元购近了一步2024-06-28 09:27:13
美国法院裁定阿里须为Squishmallows玩具侵权案答辩2023-12-28 19:59:34
小米汽车传员工3700人 雷军称小米汽车不可能卖9万92023-12-28 19:41:57
国家新闻出版署:认真研究《网络游戏管理办法(草桉徵求意见稿)》关切 实行前进一步完善2023-12-28 19:14:56
印度以打击金融犯罪为由逮捕了两名 vivo 高管2023-12-26 16:49:01
在国外微信收不到国内信息？微信和WeChat将被拆分2023-12-15 10:40:15
苹果iPhone15 系列手机发布最新消息 预计上市发布时间9月2023-08-06 23:21:02
华为将发布鸿蒙HarmonyOS4操作系统 功能五大升级支持设备清单2023-08-06 23:17:37
整治自媒体网红账号 400万粉丝网红发布擦边视频被无限期封禁2023-07-12 09:56:09
网传微信文件传输助手是真人是真的吗?微信官方回应2023-06-27 15:53:32
电信移动送手机成了“信用购”？你上了运营商的贷款套路了吗？2023-06-12 17:18:55
- 中国电信广东地区崩了无信号 客服回应已在核实处理
2023-06-08 15:39:04
- 消息称小米新能源汽车价格表正讨论定价区间：双版本不同配置，高配或超 35 万元
2023-03-06 12:56:03
- 华为因制裁被传或分拆剥离手机业务? 内部人士回应:可能性不大.
2023-03-05 23:26:41
- OPPO正式发布安第斯智能云，让终端更智能
2023-02-24 16:02:27
