In Zohocorps ADSelfService Plus können Angreifer eine Sicherheitslücke missbrauchen, um Konten zu übernehmen. Aktualisierte Software stopft das Sicherheitsleck. IT-Verantwortliche sollten es zeitnah anwenden.
Anzeige
In der Sicherheitsmitteilung von Zohocorp schreiben die Entwickler des Unternehmens, dass die Schwachstelle auf fehlerhaftes Session-Handling in ADSelfService Plus zurückgeht. Dadurch könne nicht autorisierter Zugriff aus User-Enrollment-Daten erfolgen, sofern Multi-Faktor-Authentifizierung für ADSelfService-Plus-Log-ins nicht aktiviert war. In der Folge konnten unautorisiert Nutzerdaten entfleuchen und damit möglicherweise Kontenübernahmen erfolgen (CVE-2025-1723, CVSS 8.1, Risiko "hoch").
In der Schwachstellenbeschreibung des CVE-Eintrags beim NIST ergänzt Zohocorp, dass lediglich Inhaber gültiger Konten diesen Fehler hätten missbrauchen können. Die Schwachstelle betrifft ADSelfServcie Plus 6510 und ältere Builds.
Am Mittwoch vergangener Woche, den 26. Februar, hat das Unternehmen das Update auf Version 6511 herausgegeben. Es soll die Sicherheitslücke abdichten. "Das Problem wurde in ADSelfService Plus 6511 durch Sicherstellen davon gelöst, dass Enrollment-Daten nur für den User zugreifbar sind, der aktuell authentifiziert ist", erklärt Zohocorp.
Zohocorps ADelfService Plus bietet eine webbasierte Verwaltung für Identitäten in lokalen sowie Cloud-Umgebungen und den Mischformen daraus. Sie soll Schutz bieten vor Angriffen auf diese Identitäten und die zentrale Verwaltung ermöglichen. Die Schwachstelle hat genau diese Funktionen jedoch ausgehebelt.
Zuletzt hatte Zohocorp Ende Januar vor einer Sicherheitslücke in ManageEngine Applications Manager gewarnt. Bösartige Akteure konnten sich dadurch Administrator-Rechte an verwundbaren Systemen verschaffen. Auch dort hatte das Unternehmen die Sicherheitslücke als hohes Risiko eingestuft.
(
Kommentare