低危 ZOHO ManageEngine Log360 跨站请求伪造漏洞

CVE编号

CVE-2021-40174

利用情况

暂无

补丁情况

官方补丁

披露时间

2021-08-29
漏洞描述
ZOHO ManageEngine Log360是美国卓豪（ZOHO）公司的一个集成的日志管理和 Active Directory 审计和警报解决方案。该解决方案可帮助您减轻安全威胁、发现持续的攻击企图、检测可疑的用户活动并遵守监管​​要求。
ZOHO ManageEngine Log360 中存在跨站请求伪造漏洞，该漏洞源于产品未能充分验证请求来自可信用户。攻击这可通过该漏洞禁用登录安全设置。以下产品及版本受到影响：Zoho ManageEngine Log360 Build 5224 之前版本。
解决建议
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://www.manageengine.com/log-management/9182736/ManageEngine_Log360_64bit.exe
参考链接
https://www.manageengine.com/log-management/readme.html#Build%205224
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 zohocorp manageengine_log360 * Up to
(including)
5.1
运行在以下环境
应用 zohocorp manageengine_log360 5.2 -
阿里云评分
3.7
  • 攻击路径
    远程
  • 攻击复杂度
    复杂
  • 权限要求
    无需权限
  • 影响范围
    有限影响
  • EXP成熟度
    未验证
  • 补丁情况
    官方补丁
  • 数据保密性
    数据泄露
  • 数据完整性
    传输被破坏
  • 服务器危害
    无影响
  • 全网数量
    N/A
CWE-ID 漏洞类型
CWE-352 跨站请求伪造（CSRF）
阿里云安全产品覆盖情况