Zoho ManageEngine: Remote Code Execution (RCE) (CVE-2022-47966)

Was ist betroffen, was ist zu tun

Mehrere Zoho ManageEngine On-Premise-Produkte, wie ServiceDesk Plus bis Version 14003, ermöglichen die Ausführung von Ferncode aufgrund der Verwendung von Apache Santuario xmlsec (auch bekannt als XML Security for Java) 1.4.1. Dies liegt daran, dass die xmlsec XSLT-Funktionen in dieser Version so konzipiert sind, dass die Anwendung für bestimmte Sicherheitsschutzmaßnahmen verantwortlich ist, und die ManageEngine-Anwendungen diese Schutzmaßnahmen nicht bereitstellen.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. CISA führt sie als in Ransomware-Kampagnen genutzte Schwachstelle. Die vorliegenden Quellen nennen keine Fix-Version. Prüfen Sie die Herstellerhinweise in den Referenzen unten. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Widersprüchliche Versionsdaten – die Versionsanzeige ist ausgeblendet, bis die Daten bereinigt sind.

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Patch sofort einspielen: Service Pack-Builds gemäss Zoho-Advisory einspielen, u. a. ServiceDesk Plus 14004, ADManager Plus 7162, ADSelfService Plus 6211, Password Manager Pro 12124, PAM 360 5713, Endpoint Central 10.1.2228.11, ADAudit Plus 7081, Access Manager Plus 4308, AD360 4310. Zoho stellt ein Exploit-Detection-Tool bereit — vor dem Patch gegen alle Instanzen laufen lassen.
   • Prüfen, ob SAML SSO jemals konfiguriert wurde (auch deaktiviert reicht bei vielen Produkten für Ausnutzung). Konfigurationsdateien und Admin-Konsole beider Zustände inspizieren; SAML-Konfiguration temporär komplett entfernen, falls Patch nicht sofort möglich.
   • Management-Webinterfaces (typisch TCP 8080, 8443, 8400, 443) vom Internet und von untrusted Zonen per Firewall/Reverse-Proxy abschotten — nur Admin-Jump-Hosts whitelisten, bis Patch verifiziert ist.
   • Compromise Assessment ab dem 1. Januar 2023 (Public PoC verfügbar, aktive Massen-Ausnutzung dokumentiert): nach webshells unter ..\webapps\ sowie Child-Prozessen von java.exe / wrapper.exe suchen, insbesondere cmd.exe, powershell.exe, certutil.exe, bitsadmin.exe.
   • Service-Accounts der ManageEngine-Instanz, lokale Admin-Credentials sowie alle vom Produkt verwalteten Secrets (PAM 360, Password Manager Pro Vaults) als potenziell kompromittiert behandeln und rotieren, wenn Instanz vor Patch exponiert war.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Netzsegmentierung: ManageEngine-Server in dediziertes Management-VLAN; eingehend nur von Admin-Netzen, ausgehend striktes Egress-Filtering (kein Internet-Zugriff ausser definierte Update-URLs von Zoho). C2-Callbacks waren der häufigste Post-Exploitation-Pfad.
   • Reverse-Proxy/WAF-Regel vor dem Produkt: POST-Requests auf SAML-Endpunkte (/samlLogin/*, /SamlResponseServlet, /ServiceDesk/SamlResponseServlet) auf XML-Payloads mit xsl: oder xalan-Namespaces blocken; Content-Length-Limit für SAML-Responses setzen.
   • Falls SAML aktiv benötigt: SSO temporär auf IdP-Seite deaktivieren und auf lokale Admin-Logins mit MFA umstellen, bis Patch validiert ist.
   • Applikations-Härtung: Dienst unter minimal privilegiertem Service-Account laufen lassen (nicht NT AUTHORITY\SYSTEM bzw. root); AppLocker/WDAC bzw. SELinux-Profile, die Child-Prozess-Spawning aus java.exe auf Shells und LOLBins verhindern.
   • IAM: ManageEngine-Produkte halten privilegierte Credentials (AD, Endpoints) — Just-in-Time-Zugriff statt dauerhafter Domain-Admin-Hinterlegung; Tiering nach BSI-Empfehlung, damit kompromittierter ManageEngine-Host nicht direkt Tier-0 kompromittiert.
   • IPS-Signaturen aktivieren: Suricata/Snort-Regeln für CVE-2022-47966 (u. a. ET-Open-Ruleset SIDs ab Januar 2023) im Inline-Modus vor den betroffenen Hosts.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • Sysmon EID 1 / EDR Process-Create: Parent java.exe oder wrapper.exe aus *\ManageEngine\*-Pfad mit Child cmd.exe, powershell.exe, whoami.exe, net.exe, certutil.exe, curl.exe, rundll32.exe. Sigma-Shape: parent_image|endswith: '\java.exe' AND parent_image|contains: 'ManageEngine' AND image|endswith in ('\cmd.exe','\powershell.exe').
   • Web-Access-Logs des eingebetteten Tomcat: POST auf SAML-Endpunkte mit HTTP 200 ohne vorhergehenden Login-Redirect-Flow, insbesondere ungewöhnlich grosse Request-Bodies. KQL-Beispiel: WebLogs | where url_path has_any ("SamlResponseServlet","samlLogin") and http_method == "POST" and request_size > 5000.
   • Datei-Erstellung (Sysmon EID 11) neuer .jsp-, .jspx- oder .class-Dateien unter *\webapps\ oder *\work\Catalina\* zur Laufzeit — klassischer Webshell-Drop (z. B. test.jsp, help.jsp).
   • Netzwerk-Telemetrie (Zeek conn.log / Firewall): ausgehende Verbindungen vom ManageEngine-Host zu Pastebin, GitHub-Raw, Discord-CDN oder bekannten Cobalt-Strike-/Sliver-Beacon-Mustern — Baseline sollte nur Zoho-Update-Endpunkte zeigen.
   • Windows Security EID 4688 / Linux auditd execve: Ausführung von whoami, systeminfo, ipconfig /all, net group "domain admins" durch das Service-Konto der ManageEngine-Installation innerhalb kurzer Zeit — Standard-Recon nach erfolgreicher RCE.

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Mehrere Zoho ManageEngine On-Premise-Produkte, wie ServiceDesk Plus bis Version 14003, ermöglichen die Ausführung von Ferncode aufgrund der Verwendung von Apache Santuario xmlsec (auch bekannt als XML Security for Java) 1.4.1. Dies liegt daran, dass die xmlsec XSLT-Funktionen in dieser Version so konzipiert sind, dass die Anwendung für bestimmte Sicherheitsschutzmaßnahmen verantwortlich ist, und die ManageEngine-Anwendungen diese Schutzmaßnahmen nicht bereitstellen. Dies betrifft Access Manager Plus vor 4308, Active Directory 360 vor 4310, ADAudit Plus vor 7081, ADManager Plus vor 7162, ADSelfService Plus vor 6211, Analytics Plus vor 5150, Application Control Plus vor 10.1.2220.18, Asset Explorer vor 6983, Browser Security Plus vor 11.1.2238.6, Device Control Plus vor 10.1.2220.18, Endpoint Central vor 10.1.2228.11, Endpoint Central MSP vor 10.1.2228.11, Endpoint DLP vor 10.1.2137.6, Key Manager Plus vor 6401, OS Deployer vor 1.1.2243.1, PAM 360 vor 5713, Password Manager Pro vor 12124, Patch Manager Plus vor 10.1.2220.18, Remote Access Plus vor 10.1.2228.11, Remote Monitoring and Management (RMM) vor 10.1.41, ServiceDesk Plus vor 14004, ServiceDesk Plus MSP vor 13001, SupportCenter Plus vor 11026 und Vulnerability Manager Plus vor 10.1.2220.18. Die Ausnutzung ist nur möglich, wenn SAML SSO jemals für ein Produkt konfiguriert wurde (bei einigen Produkten erfordert die Ausnutzung, dass SAML SSO derzeit aktiv ist).

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: pwn.watch, CISA KEV Catalog, cvelistv5, NVD (NIST), CVE.org (MITRE)

Hersteller und Produkte

• Zohocorp Zohocorp ManageEngine Access Manager Plus
• Zohocorp Manageengine Ad360
• Zohocorp ManageEngine ADAudit Plus
• Zohocorp Zohocorp ManageEngine ADManager Plus
• Zohocorp Zohocorp ManageEngine ADSelfService Plus
• Zohocorp Zohocorp ManageEngine Analytics Plus
• Zohocorp Manageengine Application Control Plus
• Zohocorp Manage Engine Asset Explorer Agent
• Zohocorp Zoho Corp ManageEngine Browser Security Plus
• Zohocorp Manageengine Device Control Plus
• Zohocorp Zoho Corp ManageEngine Key Manager Plus
• Zohocorp Zohocorp ManageEngine PAM360

Quellen & Referenzen

• github.comapache/santuario-xml-security-java/tags?after=1.4.6
• manageengine.comVendor advisory: Zoho ManageEnginepwn-watch
• packetstormsecurity.comfiles/170882/Zoho-ManageEngine-ServiceDesk-Plus-14003-Remote-Co…
• packetstormsecurity.comfiles/170925/ManageEngine-ADSelfService-Plus-Unauthenticated-SA…
• packetstormsecurity.comfiles/170943/Zoho-ManageEngine-Endpoint-Central-MSP-10.1.2228.1…
• blog.viettelcybersecurity.comsaml-show-stopper
• github.comhorizon3ai/CVE-2022-47966
• horizon3.aimanageengine-cve-2022-47966-technical-deep-dive
• cisa.govnews-events/cybersecurity-advisories/aa23-250a
• attackerkb.comtopics/gvs0Gv8BID/cve-2022-47966/rapid7-analysis
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2022-47966government-resource
• pwn.watchpwn.watch: Zoho ManageEngine: Remote Code Execution (CVE-2022-47966)pwn-watch
• NVD (NIST)NVD: CVE-2022-47966pwn-watch
• cisa.govCISA Known Exploited Vulnerabilities Catalogpwn-watch