BDU:2025-12730

Уязвимость компонента DCPluginServelet Servlet программного средства для управления рабочими местами через web-интерфейс ManageEngine Desktop Central и средства удаленного мониторинга и управления настольными ПК, серверами, ноутбуками и мобильными устройствами ManageEngine Endpoint Central MSP (ранее ManageEngine Desktop Central MSP), позволяющая нарушителю обойти существующие ограничения безопасности

Опубликовано: 2025-10-10

Описание

Уязвимость компонента DCPluginServelet Servlet программного средства для управления рабочими местами через web-интерфейс ManageEngine Desktop Central и средства удаленного мониторинга и управления настольными ПК, серверами, ноутбуками и мобильными устройствами ManageEngine Endpoint Central MSP (ранее ManageEngine Desktop Central MSP) связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти существующие ограничения безопасности

Затрагиваемое ПО и версии

ManageEngine Desktop Central (от 7 до 9.0 build 90109)ManageEngine Endpoint Central MSP (от 7 до 9.0 build 90109)

Способ устранения

Использование рекомендаций:
https://github.com/pedrib/PoC/blob/master/advisories/ManageEngine/me_dc9_admin.txt

Оценка CVSS

Балл	10 — критическая опасность

Источники и патчи

https://github.com/pedrib/PoC/blob/master/advisories/ManageEngine/me_dc9_admin.txt https://seclists.org/fulldisclosure/2015/Jan/2 https://exchange.xforce.ibmcloud.com/vulnerabilities/99595 https://www.securitycode.ru/company/blog/daydzhest-laboratorii-analiza-setevykh-ugroz-kod-bezopasnosti-za-mart-2025/

Проверьте безопасность своего сайта и почты → Полная проверка домена