„`html
Zusammenfassung
Die Schwachstelle CVE-2026-11840 betrifft Zoho ManageEngine Password Manager Pro und PAM360 mit einem CVSS-Score von 8.8 (High). Eine authentifizierte SQL-Injection ermöglicht es Angreifern mit gültigen Anmeldedaten, auf sensitive Daten zuzugreifen und die Integrität des Systems zu gefährden. Zum aktuellen Zeitpunkt ist kein Patch verfügbar.
Betroffene Systeme
- ManageEngine Password Manager Pro: Versionen vor 13232
- ManageEngine PAM360: Versionen vor 8552
Beide Produkte sind weit verbreitete Lösungen für Passwortmanagement in Unternehmensumgebungen.
Technische Details
Die Vulnerability liegt in einer unzureichenden Input-Validierung bei der Verarbeitung von SQL-Abfragen. Ein authentifizierter Benutzer kann durch manipulierte Parameter SQL-Code injizieren und so auf unbefugte Datenbankinhalte zugreifen. Der Angriffsvektor ist netzwerkbasiert, erfordert aber gĂĽltige Authentifizierungsdaten.
Die Schwachstelle ermöglicht:
- Unbefugte Datenabfragen aus der Passwortdatenbank
- Potenzielle Manipulation von Konfigurationsdaten
- Umgehung von Zugriffskontrollmechanismen
Empfohlene Massnahmen
- Sofortmassnahmen: Netzwerkbasierte Zugriffsbeschränkung auf vertrauenswürdige IP-Adressen implementieren
- Monitoring: Anomale Datenbankzugriffe und SQL-Fehler ĂĽberwachen
- Aktualisierung: Auf patched Versionen aktualisieren sobald verfĂĽgbar
- Audit: Logs auf verdächtige Aktivitäten überprüfen
- Least Privilege: Benutzerberechtigungen minimieren
Bewertung
Trotz erforderlicher Authentifizierung stellt diese Schwachstelle ein hohes Risiko dar, da Insider-Bedrohungen und kompromittierte Accounts damit erheblichen Schaden anrichten können. Unternehmen sollten präventive Massnahmen priorisieren und auf Patch-Ankündigungen überwachen.
„`