CVE-2019-9621
Synacor Zimbra Collaboration Suite (ZCS) Server-Side Request Forgery (SSRF) Vulnerability
Beschreibung
CVE-2019-9621 ist eine Server-Side Request Forgery (SSRF)-Schwachstelle in der ProxyServlet-Komponente von Synacor Zimbra Collaboration Suite (ZCS). Ein unauthentifizierter Angreifer kann ueber manipulierte Anfragen den Server dazu bringen, Anfragen an beliebige interne oder externe Ziele zu senden. Die Schwachstelle wird mit einem CVSS-Score von 7.5 (HIGH) bewertet und ermoeglicht das Auslesen vertraulicher Informationen.
Die CISA hat CVE-2019-9621 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2025-07-28. Der EPSS-Score von 94,11 % (99,9. Perzentil) zeigt, dass diese Schwachstelle zu den am staerksten ausgenutzten ueberhaupt gehoert. In Kombination mit anderen Zimbra-Schwachstellen kann CVE-2019-9621 zur vollstaendigen Systemuebernahme fuehren.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| synacor | zimbra collaboration suite | < 8.6.0; >= 8.7.0, < 8.7.11; >= 8.8.0, < 8.8.9; 8.6.0; 8.7.11; 8.8.9; 8.8.10; 8.8.11 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
- http://packetstormsecurity.com/files/152487/Zimbra-Collaboration-Autodiscover-Servlet-XXE-ProxyServlet-SSRF.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/153190/Zimbra-XML-Injection-Server-Side-Request-Forgery.html(Exploit, Third Party Advisory, VDB Entry)
- http://www.rapid7.com/db/modules/exploit/linux/http/zimbra_xxe_rce(Exploit, Third Party Advisory)
- https://blog.tint0.com/2019/03/a-saga-of-code-executions-on-zimbra.html(Third Party Advisory)
- https://blog.zimbra.com/2019/03/9826/(Vendor Advisory)
- https://bugzilla.zimbra.com/show_bug.cgi?id=109127(Issue Tracking)
- https://wiki.zimbra.com/wiki/Security_Center(Release Notes, Vendor Advisory)
- https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories(Vendor Advisory)
- https://www.exploit-db.com/exploits/46693/(Exploit, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-9621(US Government Resource)
Schwachstellentyp
CWE-918: Server-Side Request Forgery (SSRF)
CVE-2019-9621 basiert auf CWE-918 (Server-Side Request Forgery). Die ProxyServlet-Komponente von Zimbra validiert vom Benutzer bereitgestellte URLs nicht ausreichend, bevor sie serverseitige Anfragen ausfuehrt. Dies ermoeglicht es Angreifern, den Server als Proxy fuer Anfragen an interne Dienste zu missbrauchen, auf die von aussen kein direkter Zugriff besteht.
Weitere Informationen: CWE-918 -- Server-Side Request Forgery (SSRF)
Auswirkungsanalyse
Die Auswirkungen von CVE-2019-9621 sind aufgrund der Rolle von Zimbra als weitverbreitetes E-Mail- und Collaboration-System besonders kritisch. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N zeigt, dass die Schwachstelle remote ohne Authentifizierung und ohne Benutzerinteraktion ausgenutzt werden kann. Vertraulichkeit (Hoch): Ueber die SSRF-Schwachstelle kann ein Angreifer auf interne Dienste, Konfigurationsdateien und vertrauliche Daten zugreifen, die normalerweise nicht ueber das Internet erreichbar sind. Dies umfasst potentiell LDAP-Verzeichnisse, interne APIs und andere Backend-Systeme. Der ausserordentlich hohe EPSS-Score von 94,11 % (99,9. Perzentil) macht CVE-2019-9621 zu einer der am intensivsten ausgenutzten Schwachstellen weltweit. Die Kombination mit XXE-Schwachstellen in Zimbra ermoeglicht komplexe Angriffsketten bis hin zur Remote Code Execution.
Exploit-Reifegrad
CVE-2019-9621 weist eine ausserordentlich hohe Exploit-Reife auf. Oeffentliche Exploit-Codes sind ueber mehrere Quellen verfuegbar, darunter Packet Storm Security, Exploit-DB und ein Rapid7 Metasploit-Modul. Die CISA hat die aktive Ausnutzung in freier Wildbahn bestaetigt und die Schwachstelle mit einer Behebungsfrist bis zum 2025-07-28 in den KEV-Katalog aufgenommen. Der EPSS-Score von 94,11 % (99,9. Perzentil) zeigt eine nahezu sichere Ausnutzungsaktivitaet an. CVE-2019-9621 wird haeufig in Kombination mit CVE-2019-9670 (XXE-Schwachstelle) zu einer vollstaendigen Remote Code Execution-Kette kombiniert.
Behebung
-
Zimbra umgehend aktualisieren: Aktualisieren Sie auf eine gepatchte Version: Zimbra 8.6 Patch 13 oder hoeher, 8.7.11 Patch 10 oder hoeher, 8.8.10 Patch 7 oder hoeher, bzw. 8.8.11 Patch 3 oder hoeher. Konsultieren Sie die Zimbra Security Advisories fuer aktuelle Patch-Informationen.
-
Zugriff auf ProxyServlet einschraenken: Implementieren Sie Netzwerk-Firewallregeln, um den Zugriff auf die betroffene ProxyServlet-Komponente auf vertrauenswuerdige IP-Adressen zu beschraenken. Konfigurieren Sie Reverse-Proxy-Regeln, um verdaechtige Anfragen zu blockieren.
-
Interne Netzwerksegmentierung pruefen: Da SSRF den Zugriff auf interne Dienste ermoeglicht, stellen Sie sicher, dass der Zimbra-Server keine Netzwerkverbindungen zu sensitiven internen Systemen herstellen kann. Implementieren Sie Egress-Filterung.
-
Forensische Analyse durchfuehren: Ueberpruefen Sie Zimbra-Server-Logs auf Anzeichen einer Ausnutzung, insbesondere ungewoehnliche Anfragen an die ProxyServlet-Komponente und Verbindungen zu internen IP-Adressen.
-
Langfristige Absicherung: Erwaegen Sie die Migration auf die neueste Zimbra-Version und implementieren Sie ein Web Application Firewall-Regelwerk, das SSRF-Angriffsmuster erkennt und blockiert.
Technische Details
CVE-2019-9621 betrifft die ProxyServlet-Komponente von Synacor Zimbra Collaboration Suite in den Versionen vor 8.6 Patch 13, 8.7.x vor 8.7.11 Patch 10 und 8.8.x vor 8.8.10 Patch 7 bzw. 8.8.11 Patch 3. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N zeigt, dass die Schwachstelle remote (AV:N) ohne Authentifizierung (PR:N) und ohne Benutzerinteraktion (UI:N) bei niedriger Komplexitaet (AC:L) ausgenutzt werden kann. Die ProxyServlet-Komponente leitet HTTP-Anfragen an interne Dienste weiter, validiert dabei jedoch die Ziel-URL nicht ausreichend. Ein Angreifer kann manipulierte Anfragen senden, die den Server dazu veranlassen, Verbindungen zu beliebigen internen oder externen Zielen herzustellen. Dies ermoeglicht das Auslesen lokaler Dateien, den Zugriff auf interne APIs und die Umgehung von Netzwerk-Zugriffskontrollen. Die Schwachstelle wird besonders gefaehrlich, wenn sie mit CVE-2019-9670 (XXE in der Autodiscover-Komponente) kombiniert wird, da die resultierende Angriffskette eine vollstaendige Remote Code Execution ermoeglicht.
Häufig gestellte Fragen
Wird CVE-2019-9621 aktiv ausgenutzt?
Ja, die CISA hat CVE-2019-9621 in den KEV-Katalog aufgenommen und bestaetigt damit die aktive Ausnutzung. Der EPSS-Score von 94,11 % (99,9. Perzentil) zeigt eine nahezu sichere Ausnutzungsaktivitaet an. Oeffentliche Exploit-Codes und Metasploit-Module sind frei verfuegbar.
Welche Produkte sind von CVE-2019-9621 betroffen?
Betroffen ist Synacor Zimbra Collaboration Suite in den Versionen vor 8.6 Patch 13, 8.7.x vor 8.7.11 Patch 10, 8.8.x vor 8.8.10 Patch 7 und 8.8.x vor 8.8.11 Patch 3. Alle Installationen dieser Versionen, die oeffentlich erreichbar sind, sollten als gefaehrdet betrachtet werden.
Wie behebe ich CVE-2019-9621?
Aktualisieren Sie Zimbra umgehend auf eine gepatchte Version (8.6 Patch 13+, 8.7.11 Patch 10+, 8.8.10 Patch 7+ oder 8.8.11 Patch 3+). Fuehren Sie anschliessend eine forensische Pruefung auf Kompromittierungsindikatoren durch und beschraenken Sie den Netzwerkzugriff auf die ProxyServlet-Komponente.
Wie schwerwiegend ist CVE-2019-9621?
CVE-2019-9621 hat einen CVSS-Score von 7.5 (HIGH) und ermoeglicht Server-Side Request Forgery ohne Authentifizierung. Der EPSS-Score gehoert mit 94,11 % zu den hoechsten ueberhaupt. In Kombination mit anderen Zimbra-Schwachstellen kann die SSRF-Luecke zu vollstaendiger Remote Code Execution fuehren.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.