CVE-2021-33617

Zoho ManageEngine Password Manager Pro filtra una señal de sí/no sobre si un nombre de usuario existe: un endpoint de inicio de sesión específico devuelve una respuesta nula solo cuando el nombre de usuario es inválido, de modo que un atacante puede enumerar cuentas válidas observando esa diferencia. No se divulgan credenciales y no se ejecuta nada: el impacto es la confidencialidad de la lista de cuentas, que es una ayuda de reconocimiento más que una intrusión.

Lo que le da más peso que a un típico fallo de enumeración de nombres de usuario es el producto en el que está: Password Manager Pro es, por definición, la bóveda. Una lista confirmada de nombres de usuario administrativos válidos es exactamente la entrada que un atacante quiere antes de montar credential-stuffing o password-spraying contra ese mismo portal. Así que, aunque el fallo en sí es de baja severidad y no-autenticado-pero-inofensivo de forma aislada, agudiza significativamente una campaña posterior de fuerza bruta contra un objetivo de alto valor.

Nuestro enfoque es el encadenamiento y la exposición en lugar del fallo aislado. Las consolas de PMP no deberían dar a internet, así que la primera verificación es si alguna instancia anterior a 11.2 es accesible desde el exterior: un inicio de sesión de bóveda expuesto es donde la enumeración más el spraying se vuelve una secuencia plausible. Donde sea solo interno, clasificamos el fallo de enumeración como bajo y lo integramos en la aplicación normal de parches, mientras nos aseguramos de que la limitación de tasa y el bloqueo en el endpoint de inicio de sesión estén cumpliendo su función para mitigar el ataque que habilita.