CVE-2021-33617

O Zoho ManageEngine Password Manager Pro vaza um sinal de sim/não sobre a existência de um nome de usuário: um endpoint de login específico retorna uma resposta nula apenas quando o nome de usuário é inválido, de modo que um atacante pode enumerar contas válidas observando essa diferença. Nenhuma credencial é revelada e nada é executado — o impacto é a confidencialidade da lista de contas, o que é um auxílio de reconhecimento, e não uma invasão.

O que dá a isso mais peso do que uma falha típica de enumeração de nomes de usuário é o produto em que ocorre: o Password Manager Pro é, por definição, o cofre. Uma lista confirmada de nomes de usuário administradores válidos é exatamente a entrada que um atacante deseja antes de montar um credential-stuffing ou password-spraying contra esse mesmo portal. Assim, embora a falha em si seja de baixa severidade e não autenticada-mas-inofensiva isoladamente, ela afia de forma significativa uma campanha subsequente de força bruta contra um alvo de alto valor.

Nossa abordagem é o encadeamento e a exposição, mais do que a falha isolada. Consoles do PMP não deveriam estar voltados para a internet, então a primeira verificação é se alguma instância anterior à 11.2 é alcançável de fora — um login de cofre exposto é onde a enumeração somada ao spraying se torna uma sequência plausível. Onde é apenas interno, classificamos a falha de enumeração como baixa e a incorporamos à aplicação normal de patches, garantindo ao mesmo tempo que a limitação de taxa e o bloqueio de conta no endpoint de login estejam cumprindo seu papel de embotar o ataque que ela viabiliza.