ManageEngine - CVE-2026-12264
Date de publication :
Il s'agit d'une vulnérabilité dans la fonction de synchronisation de la configuration de basculement HA (HA Failover Config sync) de ManageEngine DDI Central.
ManageEngine DDI Central est une solution de gestion des services DNS, DHCP et de l'adressage IP (IPAM). Elle sert à administrer de manière centralisée des serveurs DNS et DHCP. Elle propose aussi une configuration en haute disponibilité (HA).
Le mécanisme d'upload de cette synchronisation ne contrôle pas correctement les fichiers reçus. Un attaquant authentifié, avec des privilèges faibles, peut déposer un fichier à l'emplacement de son choix sur l'hôte. Cette écriture de fichier arbitraire conduit à une exécution de code avec les droits root. L'attaque se fait par le réseau, avec une complexité faible et sans interaction utilisateur.
Elle permet à un attaquant authentifié d'exécuter du code arbitraire à distance en tant que root sur le serveur DDI Central. L'impact est élevé sur la confidentialité, l'intégrité et la disponibilité.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Exécution de code arbitraire (à distance)
Exploitation
CWE-434 : Unrestricted Upload of File with Dangerous Type
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Oui
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
DDI Central versions antérieures à 6201 (build)