-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512

   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

######################## UPDATE 1.01 #############################

Titel           : Kwetsbaarheid verholpen in Zoho ManageEngine
                  ADSelfService Plus
Advisory ID     : NCSC-2021-0817
Versie          : 1.01
Kans            : high
CVE ID          : CVE-2021-40539
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: http://cve.mitre.org/cve/)
Schade          : medium
                  Omzeilen van authenticatie
Uitgiftedatum   : 20211126
Toepassing      : Zoho ManageEngine ADSelfService Plus
Versie(s)       : <= build 6113
Platform(s)     :

Update
   Er is exploit code beschikbaar gesteld. De inschaling van dit
   beveiligingsadvies wijzigt niet en blijft HIGH/MEDIUM.

Beschrijving
   Zoho ManageEngine heeft een kwetsbaarheid verholpen in ADSelfService
   Plus. ADSelfService Plus is een self-service-password-management- en
   single-sign-on-oplossing. De kwetsbaarheid stelt een kwaadwillende
   op afstand in de gelegenheid authenticatie te omzeilen.

   Zoho ManageEngine categoriseert deze kwetsbaarheid volgens de CVSSv3
   methode met een score van 9.8.

   De FBI, CISA en CGCYBER, hebben een gezamelijk beveiligingsadvies
   uitgebracht waarin zij aangeven dat de kwetsbaarheid actief wordt
   misbruikt en mogelijk ook door statelijke actoren. Meer informatie
   kunt u vinden op:

   https://us-cert.cisa.gov/ncas/alerts/aa21-259a

   Er is publieke exploit code beschikbaar.

Mogelijke oplossingen
   Zoho ManageEngine heeft updates uitgebracht om de kwetsbaarheid te
   verhelpen. Meer informatie kunt u vinden op onderstaande pagina's:

   Beveiligingsadvies:
   https://www.manageengine.com/products/self-service-password/kb
      /how-to-fix-authentication-bypass-vulnerability-in-REST-API.html

   Update:
   https://pitstop.manageengine.com/portal/en/community/topic
      /adselfservice-plus-6114-security-fix-release

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.

-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.4.2 (Build 1298)
Charset: utf-8

wsDVAwUBYaDcueEs56R4sCd0AQoPGAwAnip4jGZ3kXSlL5LogS5yrwQ+td9X1aUQ
2cKA5Ngd0TCjDCaM2nXegTUHdMd1CRzQ3P5vRgJw89SDcVRG23oCKC4faoiBiTOo
6TsREB/zjl+XNM2CW9AIwSnikijq5/o8ObF3yzBIddk5qLQD4R8SA05VvYOiwgSl
X+wmjH0oQkNDS2/M7xatGQT/eiYdJdD7YF5DM8bNs7S9Mxoows+WH656621KgmF4
vzPa5DFSZDihG1syfH4eplpP2Qy1B7AMClrAJteNGep1OtsvWtHlxPqWxL3gTFZV
86F3Qemkm+euzkHwi3DUk7CjoGqXlu0jkS5w5HnDRReEabLsBANfmOExqIYZRP7j
3ctrIjl0U39jfrEK5pgknqBIafTCHD3FVorYpB3dBU/kEZBT1QFCo9yTzBPo9QYS
Yvs74YunLHspbpikCbUpaCtHZ46QOTyc4zSJvxlUUgZapv3+yTDcmx/X61Fl8tk3
MdVfBLNu4/sSQGGi/GcmQzeLLzktkI1O
=70A0
-----END PGP SIGNATURE-----