【漏洞预警】Zimbra任意文件上传漏洞

2022-08-15 6,125


1. 通告信息




近日,安识科技A-Team团队监测到Zimbra发布安全公告,督促用户尽快更新到Zimbra的最新版本,以修复目前正在被积极利用的2个漏洞CVE-2022-27925和CVE-2022-37042

对此,安识科技建议广大用户及时升级到安全版本,并做好资产自查以及预防工作,以免遭受黑客攻击。


2. 漏洞概述




Zimbra 是一个电子邮件和协作平台,在全球范围内被广泛使用,其中包括政府和金融组织。

本次发布的安全公告中包括CVE-2022-27925和CVE-2022-37042两个漏洞,成功利用这些漏洞可以实现RCE。


3. 漏洞危害




CVE-2022-27925:Zimbra Collaboration (ZCS) 任意文件上传漏洞

Zimbra Collaboration(又称ZCS)8.8.15和9.0具有mboximport功能,可接收ZIP存档并从中提取文件,具有管理员权限的认证用户可以将任意文件上传到系统中,从而导致目录遍历或远程代码执行。此漏洞已于2022 年3月在8.8.15P31和9.0.0P24中修复,目前已发现被利用。

CVE-2022-37042:Zimbra Collaboration (ZCS) 身份验证绕过漏洞

Zimbra Collaboration (ZCS) 在 MailboxImportServlet 中存在身份验证绕过漏洞,可能导致未经身份验证的远程代码执行。此漏洞已于2022年7月在 8.8.15P33和9.0.0P26中修复,目前已发现被利用


4. 影响版本




目前受影响的Zimbra产品版本:

ZCS < 8.8.15 patch 33


ZCS < 9.0.0 patch 26


5. 解决方案




目前这些漏洞已经修复,受影响用户可升级到Zimbra 8.8.15P33、9.0.0P26或更高版本。

下载链接:

https://blog.zimbra.com/2022/08/authentication-bypass-in-mailboximportservlet-vulnerability/


6. 时间轴




-20220813 安识科技A-Team团队监测到漏洞公布信息

-20220814 安识科技A-Team团队根据漏洞信息分析

-20220815 安识科技A-Team团队发布安全通告


本文作者:安识科技

本文为安全脉搏专栏作者发布,转载请注明:https://www.secpulse.com/archives/185321.html

Tags:
评论  (0)
快来写下你的想法吧!

安识科技

文章数:145 积分: 135

安识科技:专业的企业安全解决方案提供商。官网:https://www.duoyinsu.com/

安全问答社区

安全问答社区

脉搏官方公众号

脉搏公众号