Kerngegevens
- Leverancier
- ManageEngine (Zoho)
- Soort software
- beveiliging
- Getroffen versies
- ManageEngine Key Manager Plus t/m 7150
- Oplossing
- Update beschikbaar
- Opgeloste versie
- ManageEngine Key Manager Plus 7151
- CVE gepubliceerd
- 3 november 2026
- Gepubliceerd op LekkenRadar
- 3 november 2026
- Laatst gewijzigd bij NVD
- 3 november 2026
Simpel uitgelegd
Wat is er aan de hand?
In ManageEngine Key Manager Plus ouder dan build 7151 zit een fout in de manier waarop SAML-aanmelding wordt gecontroleerd; ManageEngine loste die op in build 7151. Een aanvaller kan inloggen met een SAML-bevestiging (assertion) die bedoeld was voor een andere dienst (service provider). Zo kan iemand toegang krijgen zonder dat hij daar rechten voor heeft.
Wie loopt risico?
Je loopt risico als je Key Manager Plus tot en met build 7150 gebruikt en single sign-on via SAML hebt ingesteld. De aanvaller heeft geen account nodig, maar wel een geldige SAML-assertion van dezelfde identity provider voor een andere dienst. Is dat een assertion van een beheerder, dan krijgt de aanvaller beheerdersrechten in Key Manager Plus, de plek waar je SSH-sleutels en certificaten beheert. De oplossing (build 7151) is al sinds 21 augustus 2026 beschikbaar. Er is geen melding van actief misbruik.
Wat moet je doen?
Controleer je versie
Kijk na welke versie van ManageEngine Key Manager Plus je gebruikt. Versies voor 7151 zijn getroffen.
Werk bij naar versie 7151
Installeer versie 7151 of nieuwer volgens het advies van de leverancier. Daarin is dit lek opgelost.
Beperk de blootstelling
Zorg dat Key Manager Plus niet onnodig vanaf internet bereikbaar is, zolang je nog niet hebt bijgewerkt.
Dezelfde update lost meer lekken op
Build 7151 verhelpt ook CVE-2026-77799, CVE-2026-77691, CVE-2026-77777 en CVE-2026-77778. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Als single sign-on (SAML) is ingesteld, controleert Key Manager Plus niet voor welke dienst (service provider) een SAML-assertion is bedoeld. Een aanvaller zonder account die een assertion heeft die dezelfde identity provider voor een andere dienst heeft uitgegeven, kan die bij Key Manager Plus aanbieden en krijgt dan een ingelogde sessie als de gebruiker in die assertion, zonder diens wachtwoord. Gaat het om een beheerder, dan heeft de aanvaller toegang tot alle functies van die rol. De fout is ingedeeld als CWE-304. De CVSS 3.1-vector wijst op een aanval via het netwerk met hoge complexiteit, zonder vereiste rechten en zonder gebruikersinteractie. Alle versies tot en met 7150 zijn getroffen; ManageEngine loste het op 21 augustus 2026 op in build 7151 door het beoogde publiek (audience) van SAML-assertions te controleren.
CVSS-vector (versie 3.1, basisscore 7,7, bron: CNA)
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:L- Zwakheid (CWE)
- CWE-304 · Ontbrekende kritieke stap in authenticatie
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 1,0%
- Aanvalscode openbaar
- Nee