SQLインジェクション (SQL Injection)

CVE-2026-5785 は、ManageEngine PAM360 (8531 より前のバージョン) および ManageEngine Password Manager Pro (8600 から 13230 までのバージョン) に影響を与えます。この脆弱性は、レポート生成モジュールにおける認証済み SQL インジェクションを可能にします。システムへの認証されたアクセス権を持つ攻撃者は、この欠陥を利用して SQL クエリを操作し、データベースから機密データを抽出したり、情報を変更したり、システム全体の整合性を損なう可能性があります。CVSS 重度スコアは 8.1 で、高いリスクを示しています。 攻撃の成功には、PAM360 または Password Manager Pro へのアクセスに必要な有効な資格情報が必要です。潜在的な影響には、パスワード、ユーザー情報、監査データ、データベースに保存されているその他の機密データの開示が含まれます。

Organizations heavily reliant on ManageEngine PAM360 for privileged access management are at significant risk. Specifically, deployments with weak password policies or those storing sensitive data directly within the PAM360 database are particularly vulnerable. Shared hosting environments where multiple tenants share the same PAM360 instance also face increased risk.

• linux / server:

journalctl -u pam360 | grep -i "SQL injection"

• database (mysql):

mysql -u <user> -p -e "SELECT VERSION();"

• generic web:

curl -I <pam360_url>/query_report?param='; DROP TABLE users;--

1. 2026-04-16Disclosure

   disclosure

1. 予約済み2026-04-08
2. 公開日2026-04-16
3. 更新日2026-04-17
4. EPSS 更新日2026-04-24

解決策は、ManageEngine PAM360 (バージョン 8531 以降) または ManageEngine Password Manager Pro (バージョン 13230 以降) のパッチを適用されたバージョンにアップグレードすることです。Zohocorp は、この脆弱性を修正するためにこれらのアップデートをリリースしました。さらに、データベースへのアクセスポリシーを見直し、強化して、承認されたユーザーのみが機密情報にアクセスできるようにする必要があります。レポート生成モジュール内の入力検証とデータサニタイズを実装することで、将来の SQL インジェクションを防止できます。データベースに関連する疑わしいアクティビティについてシステムログを監視することは、潜在的な攻撃を検出し、対応するために重要です。定期的なセキュリティ監査は、脆弱性を特定し、軽減するために不可欠です。