Vulnerabilidad en Zoho ManageEngine Device Control Plus (CVE-2022-47577)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

20/12/2022

Última modificación:

03/08/2024

Descripción

** EN DISPUTA ** Se descubrió un problema en el agente de protección de endpoints en Zoho ManageEngine Device Control Plus 10.1.2228.15. A pesar de configurar restricciones completas en pendrives USB, dispositivos HDD USB, tarjetas de memoria, conexiones USB a dispositivos móviles, etc., todavía es posible saltarse las restricciones USB haciendo uso de una máquina virtual (VM). Esto permite intercambiar un archivo fuera de la computadora portátil/sistema. Cualquier usuario puede crear máquinas virtuales (incluso sin derechos de administrador). La filtración de datos puede ocurrir sin ningún registro en el registro de auditoría de eventos de Windows en la máquina host. NOTA: la posición del proveedor es "no es una vulnerabilidad en nuestro producto".

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.80 ALTA
Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto