🟠 CVE-2026-11840: High Schwachstelle

Zusammenfassung

Die Schwachstelle CVE-2026-11840 betrifft Zoho ManageEngine Password Manager Pro und PAM360 mit einem CVSS-Score von 8.8 (High). Eine authentifizierte SQL-Injection ermöglicht es Angreifern mit gültigen Anmeldedaten, auf sensitive Daten zuzugreifen und die Integrität des Systems zu gefährden. Zum aktuellen Zeitpunkt ist kein Patch verfügbar.

Betroffene Systeme

• ManageEngine Password Manager Pro: Versionen vor 13232
• ManageEngine PAM360: Versionen vor 8552

Beide Produkte sind weit verbreitete Lösungen für Passwortmanagement in Unternehmensumgebungen.

Technische Details

Die Vulnerability liegt in einer unzureichenden Input-Validierung bei der Verarbeitung von SQL-Abfragen. Ein authentifizierter Benutzer kann durch manipulierte Parameter SQL-Code injizieren und so auf unbefugte Datenbankinhalte zugreifen. Der Angriffsvektor ist netzwerkbasiert, erfordert aber gültige Authentifizierungsdaten.

Die Schwachstelle ermöglicht:

• Unbefugte Datenabfragen aus der Passwortdatenbank
• Potenzielle Manipulation von Konfigurationsdaten
• Umgehung von Zugriffskontrollmechanismen

Empfohlene Massnahmen

• Sofortmassnahmen: Netzwerkbasierte Zugriffsbeschränkung auf vertrauenswürdige IP-Adressen implementieren
• Monitoring: Anomale Datenbankzugriffe und SQL-Fehler überwachen
• Aktualisierung: Auf patched Versionen aktualisieren sobald verfügbar
• Audit: Logs auf verdächtige Aktivitäten überprüfen
• Least Privilege: Benutzerberechtigungen minimieren

Bewertung

Trotz erforderlicher Authentifizierung stellt diese Schwachstelle ein hohes Risiko dar, da Insider-Bedrohungen und kompromittierte Accounts damit erheblichen Schaden anrichten können. Unternehmen sollten präventive Massnahmen priorisieren und auf Patch-Ankündigungen überwachen.