Kerngegevens
- Leverancier
- ManageEngine (Zoho)
- Soort software
- beveiliging
- Getroffen versies
- ManageEngine Key Manager Plus ouder dan build 7151
- Oplossing
- Update beschikbaar
- Opgeloste versie
- ManageEngine Key Manager Plus 7151
- CVE gepubliceerd
- 3 november 2026
- Gepubliceerd op LekkenRadar
- 3 november 2026
- Laatst gewijzigd bij NVD
- 3 november 2026
Simpel uitgelegd
Wat is er aan de hand?
In ManageEngine Key Manager Plus ouder dan build 7151 kan een ingelogde gebruiker certificaten van andere gebruikers exporteren naar zijn eigen geregistreerde key vaults; ManageEngine loste dit op in build 7151. Die certificaten had hij niet mogen kunnen benaderen. De ernst is hoog (7,1).
Wie loopt risico?
Je loopt risico als je Key Manager Plus gebruikt met een build ouder dan 7151. De aanvaller moet al een account in het systeem hebben en het lek is niet eenvoudig te misbruiken. Is er in jouw omgeving meer dan één gebruiker die certificaten beheert, dan kan één account bij certificaten van anderen komen. De oplossing is al sinds augustus 2026 beschikbaar.
Wat moet je doen?
Controleer je versie
Ga na welke build van ManageEngine Key Manager Plus je gebruikt. Builds ouder dan 7151 zijn getroffen.
Werk bij naar build 7151
Installeer build 7151 of nieuwer, want daarin is dit lek opgelost.
Beperk toegang tot het systeem
Zorg dat alleen mensen die het echt nodig hebben een account hebben, en dat Key Manager Plus niet onnodig bereikbaar is via het netwerk.
Controleer je certificaten
Kijk of er key vaults zijn geregistreerd die je niet herkent. Overweeg gevoelige certificaten te vervangen als je vermoedt dat ze zijn geëxporteerd.
Dezelfde update lost meer lekken op
Build 7151 verhelpt ook CVE-2026-77691, CVE-2026-77777, CVE-2026-77799 en CVE-2026-77800. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is ingedeeld als CWE-1220, onvoldoende fijnmazige toegangscontrole. Bij het exporteren van certificaten naar een geregistreerde key vault controleert Key Manager Plus niet goed of het certificaat bij de aanvragende gebruiker hoort. Een geauthenticeerde gebruiker met lage rechten kan zo via het netwerk certificaten van andere gebruikers naar zijn eigen key vault kopiëren. De CVSS-vector (CVSS 3.1, score van de CNA) geeft een hoge impact op vertrouwelijkheid, een lage impact op integriteit en een gewijzigde scope. De aanvalscomplexiteit is hoog. Volgens de gegevens is er geen publiek exploit bekend en staat het lek niet op de KEV-lijst.
CVSS-vector (versie 3.1, basisscore 7,1, bron: CNA)
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:L/A:N- Zwakheid (CWE)
- CWE-1220 · Onvoldoende fijnmazige toegangscontrole
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,8%
- Aanvalscode openbaar
- Nee