idNSA.id – The U.S. Cybersecurity and
Infrastructure Security Agency (CISA) pada hari Kamis menambahkan kelemahan
keamanan yang baru-baru ini diungkapkan di Zoho ManageEngine ke Katalog Known
Exploited Vulnerabilities (KEV), mengutip bukti eksploitasi aktif.
"Zoho ManageEngine PAM360,
Password Manager Pro, dan Access Manager Plus mengandung kerentanan yang tidak
ditentukan memungkinkan remote control access," kata agensi tersebut dalam
sebuah pemberitahuan.
Kerentanan kritis, dilacak sebagai
CVE-2022-35405, diberi peringkat 9,8 dari 10 untuk tingkat keparahan pada
sistem penilaian CVSS, dan dipatch oleh Zoho sebagai bagian dari pembaruan yang
dirilis pada 24 Juni 2022.
Meskipun sifat pasti dari cacat tersebut
masih belum diketahui, perusahaan solusi perusahaan yang berbasis di India itu
mengatakan telah mengatasi masalah tersebut dengan menghapus komponen rentan
yang dapat menyebabkan eksekusi kode arbitrer dari jarak jauh.
Zoho juga telah memperingatkan ketersediaan
publik dari eksploitasi proof-of-concept (PoC) untuk kerentanan, sehingga
pelanggan harus bergerak cepat untuk meningkatkan instans Password Manager Pro,
PAM360, dan Access Manager Plus sesegera mungkin.
Mengingat eksploitasi aktif di publik,
lembaga Federal Civilian Executive Branch (FCEB) diwajibkan untuk menerapkan
patch yang disediakan vendor paling lambat 13 Oktober 2022.
