九游老哥云
ManageEngine Applications Manager 远程代码执行误差 （CVE-2018-7890）
2018-03-15
综述
克日，研究职员通太过析发明ManageEngine Applications Manager中保存一个严重的远程代码执行误差 。误差源于可果真会见的testCredential.do端点，在验证用户提供的凭证时可能导致远程代码执行 。现在官方还没有宣布新版本举行修复 。
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-7890
https://www.securityfocus.com/bid/103358
https://pentest.blog/advisory-manageengine-applications-manager-remote-code-execution-sqli-and/
误差概述
testCredential.do这个端点会接受多个用户输入，并通过会见指定的系统来验证提供的凭证 。 该端点随后会挪用多个内部类，然后执行一个PowerShell剧本 。 若是指定的系统是OfficeSharePointServer，则传给此剧本的用户名和密码参数会失效，从而引发潜在的下令注入，导致远程代码执行 。
误差影响
由于Applications Manager大都用在内网情形下，直接被使用的规模较小，可是，由于该误差有牢靠的请求地点，当攻击者入侵进入企业内部网络后，可通过扫描的方法探测和发明，从而举行使用，控制保存误差的服务器 。
受影响的版本
- ManageEngine Applications Manager 13.5
解决计划
研究职员已经果真了exploit剧本，依附如me
同时，请受影响的用户对ManageEngine官方坚持关注，以便随时更新举行修复 。
参考链接：
https://www.manageengine.com/products/applications_manager/download.html
声 明
本清静通告仅用来形貌可能保存的清静问题，九游老哥科技不为此清静通告提供任何包管或允许 。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，九游老哥科技以及清静通告作者不为此肩负任何责任 。九游老哥科技拥有对此清静通告的修改息争释权 。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容 。未经九游老哥科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的 。
