9月8日，美國網絡安全和基礎設施安全局(CISA)發布公告警告稱，一個影響Zoho ManageEngine ADSelfService Plus 部署的0 day漏洞目前正被廣泛利用。
該漏洞被跟蹤為CVE-2021-40539，涉及一個REST API身份驗證繞過，可能導致任意遠程代碼執行 (RCE)。AD SelfService Plus構建多達6113次受到影響。
ManageEngine ADSelfService Plus是一個集成的自助服務密碼管理和Active Directory 和云應用程序的單點登錄解決方案，使管理員能夠對應用程序登錄和用戶重置密碼實施雙因素身份驗證。
CISA表示，CVE-2021-40539已在野外漏洞利用中檢測到。遠程攻擊者可以利用此漏洞來控制受影響的系統，敦促公司盡快更新應用并確保ADSelfService Plus不能直接從互聯網訪問。
在一份獨立報告中，Zoho警告說，這是一個“重點問題”，它“注意到這個漏洞被利用的跡象”。
該公司表示：“此漏洞允許攻擊者通過發送特制請求，通過REST API端點獲得對產品的未經授權訪問。這將允許攻擊者進行后續攻擊從而導致RCE?！?/p>
CVE-2021-40539是ManageEngine ADSelfService Plus自年初以來披露的第五個安全漏洞，其中三個：
CVE-2021-37421(CVSS評分：9.8)
CVE-2021-37417(CVSS評分：9.8)
和CVE-2021-33055(CVSS 評分：9.8)
在最近的更新中得到解決。
第四個漏洞CVE-2021-28958(CVSS 評分：9.8)已于2021年3月修復。
該漏洞影響ADSelfService Plus 6113版本和之前的版本，在6114版本或之后的版本中得到解決。
為了確定安裝是否易受攻擊，可以檢查/ManageEngine/ADSelfService Plus/logs文件夾中可用的訪問日志項中是否存在以下字符串:
/ RestAPI LogonCustomization
/ RestAPI /連接
這標志著Zoho企業產品中的安全漏洞第二次在現實生活中被積極利用。2020年3月，黑客利用ManageEngine Desktop Central的RCE漏洞(CVE-2020-10189, CVSS評分:9.8)在企業網絡中下載和執行惡意負載，進而發起對全球入侵活動。
0day漏洞讓人難以提前做好安全防御準備，僅靠傳統的反惡意軟件解決方案不足以應對當今的威脅環境，每個組織都需要一個分層的，主動的安全防護策略以檢測和阻止新的和高級威脅。在加強外部防護的同時，更應提高軟件自身安全防御能力。
目前，在改善軟件質量、降低安全修復成本、提高軟件安全性以及縮短交付期等壓力之下，作為應對這些需求最為有效的辦法之一的DevSecOps已經成為大勢所趨。根據GitLab發布的2021年全球DevSecOps年度調查報告，36%的受訪者團隊已經使用了DevOps或DevSecOps開發軟件。DevSecOps借助自動化檢測工具來構建腳本、將源代碼進行編譯、進行軟件漏洞掃描。常見工具有靜態代碼檢測工具(SAST)、動態應用安全測試(DAST)、開源漏洞掃描工具SCA、交互式應用安全測試(IAST)等，在提高軟件開發效率的同時，加強軟件安全性。Wukong(悟空)靜態代碼檢測工具，從源碼開始，為您的軟件安全保駕護航!
參讀鏈接：
www.woocoom.com/b021.html?i…
thehackernews.com/2021/09/cis…
securityaffairs.co/wordpress/1…
