CVE-2014-6037
CVE-2014-6037
Vexday Risk Score
60Atenção
Decisão SSVC (CISA)
Attend
PoC disponível → acompanhar de perto
Maturidade do exploit
Exploit funcional
Exploit automatizável disponível (Nuclei/Metasploit).
CVSS —EPSS 84.2%KEV nãoPoC públicaNuclei —Metasploit simPatch —
Ciclo de vida
31 ago 2014Exploit Metasploit disponível
01 set 2014PoC pública
26 out 2014Publicada no NVD
Recomendação: Planejar correção próxima — já existe PoC pública.
Directory traversal vulnerability in the agentUpload servlet in ZOHO ManageEngine EventLog Analyzer 9.0 build 9002 and 8.2 build 8020 allows remote attackers to execute arbitrary code by uploading a ZIP file which contains an executable file with .. (dot dot) sequences in its name, then accessing the executable via a direct request to the file under the web root. Fixed in Build 11072.
Produtos afetados
n/a · n/aPoCs públicas encontradas — 4
cve_referencepacketstormsecurity.com/files/128102/ManageEngine-EventLog-Analyzer-9.9-Authorization-Code-Execution.htmlnão verificadocve_referencewww.exploit-db.com/exploits/34519não verificadoexploitdbwww.exploit-db.com/exploits/34519não verificadoexploitdbwww.exploit-db.com/exploits/34670não verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
Referências
http://osvdb.org/show/osvdb/110642http://packetstormsecurity.com/files/128102/ManageEngine-EventLog-Analyzer-9.9-Authorization-Code-Execution.htmlhttp://seclists.org/fulldisclosure/2014/Aug/86http://seclists.org/fulldisclosure/2014/Sep/1http://seclists.org/fulldisclosure/2014/Sep/19http://seclists.org/fulldisclosure/2014/Sep/20https://github.com/rapid7/metasploit-framework/pull/3732https://www.mogwaisecurity.de/advisories/MSA-2014-01.txthttp://www.exploit-db.com/exploits/34519http://www.securityfocus.com/bid/69482