【漏洞预警】Zimbra任意文件上传漏洞

近日，安识科技A-Team团队监测到Zimbra发布安全公告，督促用户尽快更新到Zimbra的最新版本，以修复目前正在被积极利用的2个漏洞CVE-2022-27925和CVE-2022-37042。

对此，安识科技建议广大用户及时升级到安全版本，并做好资产自查以及预防工作，以免遭受黑客攻击。

Zimbra 是一个电子邮件和协作平台，在全球范围内被广泛使用，其中包括政府和金融组织。

本次发布的安全公告中包括CVE-2022-27925和CVE-2022-37042两个漏洞，成功利用这些漏洞可以实现RCE。

CVE-2022-27925：Zimbra Collaboration (ZCS) 任意文件上传漏洞

Zimbra Collaboration（又称ZCS）8.8.15和9.0具有mboximport功能，可接收ZIP存档并从中提取文件，具有管理员权限的认证用户可以将任意文件上传到系统中，从而导致目录遍历或远程代码执行。此漏洞已于2022 年3月在8.8.15P31和9.0.0P24中修复，目前已发现被利用。

CVE-2022-37042：Zimbra Collaboration (ZCS) 身份验证绕过漏洞

Zimbra Collaboration (ZCS) 在 MailboxImportServlet 中存在身份验证绕过漏洞，可能导致未经身份验证的远程代码执行。此漏洞已于2022年7月在 8.8.15P33和9.0.0P26中修复，目前已发现被利用。

目前受影响的Zimbra产品版本：

ZCS < 8.8.15 patch 33

ZCS < 9.0.0 patch 26

目前这些漏洞已经修复，受影响用户可升级到Zimbra 8.8.15P33、9.0.0P26或更高版本。

下载链接：

https://blog.zimbra.com/2022/08/authentication-bypass-in-mailboximportservlet-vulnerability/

【-】2022年08月13日 安识科技A-Team团队监测到漏洞公布信息

【-】2022年08月14日 安识科技A-Team团队根据漏洞信息分析

【-】2022年08月15日 安识科技A-Team团队发布安全通告

本文作者：安识科技

本文为安全脉搏专栏作者发布，转载请注明：https://www.secpulse.com/archives/185321.html