阿里云漏洞库

CVE编号

CVE-2019-12476

利用情况

暂无

补丁情况

N/A

披露时间

2019-06-18

ManageEngine ADSelfService Plus是一款基于Web的自助服务应用程序，使终端用户可不依赖于帮助台而执行密码重置、帐户解锁、配置文件信息更新等任务。

Zoho ManageEngine ADSelfService Plus 5.0.6之前版本的密码重置功能存在认证绕过漏洞。攻击者可利用该漏洞获得具有SYSTEM权限的shell。

厂商已发布漏洞修复程序，请及时关注更新：
https://www.manageengine.com/products/self-service-password/

参考链接
http://www.securityfocus.com/bid/108813
https://gist.github.com/0katz/54167ba30ea361f3776e269bb7b1afb3
https://github.com/0katz/CVE-2019-12476

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	zohocorp	manageengine_adselfservice_plus	*	From (including) 4.3.3	Up to (excluding) 5.0.6

CWE-ID	漏洞类型
CWE-640	忘记口令恢复机制弱