CVE-2018-11717

An issue was discovered in Zoho ManageEngine Desktop Central before 100251. By leveraging access to a log file, a context-dependent attacker can obtain (depending on the modules configured) the Base64 encoded Password/Username of AD accounts, the cleartext Password/Username and mail settings of the EAS account (an AD account used to send mail), the cleartext password of recovery_password of Android devices, the cleartext password of account "set", the location of devices enrolled in the platform (with UUID and information related to the name of the person at the location), critical information about all enrolled devices such as Serial Number, UUID, Model, Name, and auth_session_token (usable to spoof a terminal identity on the platform), etc.

An issue was discovered in Zoho ManageEngine Desktop Central before 100251. By leveraging access to a log file, a context-dependent attacker can obtain (depending on the modules configured) the Base64 encoded Password/Username of AD accounts, the cleartext Password/Username and mail settings of the EAS account (an AD account used to send mail), the cleartext password of recovery_password of Android devices, the cleartext password of account "set", the location of devices enrolled in the platform (with UUID and information related to the name of the person at the location), critical information about all enrolled devices such as Serial Number, UUID, Model, Name, and auth_session_token (usable to spoof a terminal identity on the platform), etc.

Se ha descubierto un problema en Zoho ManageEngine Desktop Central 100251. Aprovechando el acceso a un archivo de registro, un atacante dependiente del contexto puede obtener (dependiendo de los módulos configurados) la contraseña/nombre de usuario cifrada en Base64 de las cuentas AD, la contraseña/nombre de usuario y las opciones de mail en texto claro de la cuenta EAS (una cuenta AD empleada para enviar mails), la contraseña en texto claro recovery_password de los dispositivos Android, la contraseña en texto claro de la cuenta "set", la ubicación de los dispositivos inscritos en la plataforma (con el UUID e información relacionada con el nombre de la persona en la ubicación), información crítica sobre todos los dispositivos inscritos, como el número de serie, el UUID, el modelo, el nombre y auth_session_token (que puede emplearse para suplantar una identidad de terminal en la plataforma), etc.