漏洞復現 | ManageEngine ServiceDesk Plus 從 XSS 到 RCE 漏洞利用鏈

0x01 漏洞描述

ZOHO ManageEngine ServiceDesk Plus（SDP）是美國卓豪（ZOHO）公司的一套基于ITIL架構的IT服務管理軟件。該軟件集成了事件管理、問題管理、資產管理IT項目管理、采購與合同管理等功能模塊。

360漏洞云監測到安全研究人員近日公開了ManageEngine ServiceDesk Plus中的一個“從存儲型跨站腳本到遠程代碼執行”的漏洞利用鏈的技術細節。未經認證的遠程攻擊者可通過上傳惡意資產文件到幫助臺，實現以SYSTEM權限執行任意命令。

該利用鏈涉及以下兩個漏洞：

• CVE-2021-20080 存儲型跨站腳本

該漏洞源于輸出過濾不嚴，未經身份認證的遠程攻擊者可通過上傳特制的XML資產文件進行持久型跨站腳本(XSS)攻擊。

• CVE-2021-20081 輸入驗證不當

該漏洞源于輸入驗證不當，經認證的遠程攻擊者可利用該漏洞以SYSTEM權限執行任意命令。

360漏洞云已于第一時間成功復現該漏洞。

0x02 危害等級

高危

0x03 漏洞復現

360漏洞云已成功復現該漏洞，演示如下：

CVE-2021-20080

CVE-2021-20081

完整POC代碼已在360漏洞云情報平臺發布，360漏洞云情報平臺用戶可通過平臺下載進行安全自檢。

0x04 影響版本

• CVE-2021-20080

ManageEngine ServiceDesk Plus < 11200

ManageEngine AssetExplorer < 6800

• CVE-2021-20081

ManageEngine ServiceDesk Plus < 11205

0x05 修復版本

• CVE-2021-20080

ManageEngine ServiceDesk Plus 11200

ManageEngine AssetExplorer 6800

• CVE-2021-20081

ManageEngine ServiceDesk Plus 11205

0x06 修復建議

廠商已發布補丁修復漏洞，用戶請盡快更新。