CVE-2019-9670
Synacor Zimbra Collaboration Suite (ZCS) Improper Restriction of XML External Entity Reference
Beschreibung
CVE-2019-9670 ist eine kritische XML External Entity (XXE) Injection-Schwachstelle in der mailboxd-Komponente von Synacor Zimbra Collaboration Suite (ZCS). Die Schwachstelle betrifft Zimbra Collaboration Suite 8.7.x vor Version 8.7.11p10 und kann über den Autodiscover-Endpunkt (Autodiscover/Autodiscover.xml) ausgenutzt werden. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff kann durch manipulierte XML-Anfragen beliebige Dateien vom Server lesen, Server-Side Request Forgery (SSRF) durchführen und potenziell Remote Code Execution erreichen. CISA hat CVE-2019-9670 in den Known Exploited Vulnerabilities-Katalog aufgenommen und damit die aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 94,43 % (100. Perzentile) besteht eine nahezu sichere Wahrscheinlichkeit aktiver Ausnutzung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| synacor | zimbra collaboration suite | >= 8.7.0, < 8.7.11; 8.7.11 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/152487/Zimbra-Collaboration-Autodiscover-Servlet-XXE-ProxyServlet-SSRF.html(Exploit, Third Party Advisory, VDB Entry)
- http://www.rapid7.com/db/modules/exploit/linux/http/zimbra_xxe_rce(Third Party Advisory)
- https://bugzilla.zimbra.com/show_bug.cgi?id=109129(Broken Link, Issue Tracking, Patch, Third Party Advisory)
- https://isc.sans.edu/forums/diary/CVE20199670+Zimbra+Collaboration+Suite+XXE+vulnerability/27570/(Exploit, Third Party Advisory)
- https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories(Vendor Advisory)
- https://www.exploit-db.com/exploits/46693/(Exploit, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-9670(US Government Resource)
Schwachstellentyp
CWE-611: Unzureichende Einschränkung von XML External Entity Reference (XXE)
Die XXE-Schwachstelle in der mailboxd-Komponente von Zimbra Collaboration Suite entsteht durch einen schwach konfigurierten XML-Parser, der externe Entitätsverweise in XML-Eingaben verarbeitet. Über den Autodiscover-Endpunkt können Angreifer manipulierte XML-Daten mit externen Entitätsverweisen senden, die der Server ohne ordnungsgemäße Einschränkungen auflöst. Dies ermöglicht das Lesen lokaler Dateien einschließlich sensibler Konfigurationsdateien und Credentials sowie die Durchführung von Server-Side Request Forgery (SSRF).
Weitere Informationen: CWE-611 — Unzureichende Einschränkung von XML External Entity Reference (XXE)
Auswirkungsanalyse
CVE-2019-9670 hat einen CVSS 3.1-Score von 9.8 (CRITICAL) und stellt eine kritische Bedrohung für Zimbra-Installationen dar. Die Schwachstelle ist über das Netzwerk ausnutzbar, erfordert keine Authentifizierung, keine Benutzerinteraktion und weist eine geringe Angriffskomplexität auf — sie kann somit trivial und ohne besondere Voraussetzungen aus der Ferne ausgenutzt werden. Vertraulichkeit (Hoch): Angreifer können über die XXE-Schwachstelle beliebige Dateien vom Server lesen, einschließlich Konfigurationsdateien, Datenbank-Credentials und privater Schlüssel. Integrität (Hoch): Durch die Kombination von XXE mit SSRF und potenzieller Remote Code Execution können Angreifer den Server vollständig kompromittieren und Daten manipulieren. Verfügbarkeit (Hoch): Der betroffene Zimbra-Server kann durch Denial-of-Service-Angriffe mittels rekursiver Entitätserweiterung oder durch die Übernahme des Servers vollständig lahmgelegt werden. Der EPSS-Score von 94,43 % unterstreicht die extreme Ausnutzungswahrscheinlichkeit.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2019-9670 über Exploit-DB und Packet Storm Security. Zusätzlich existiert ein Rapid7 Metasploit-Modul, das die automatisierte Ausnutzung ermöglicht. Das SANS Internet Storm Center hat ebenfalls über aktive Ausnutzungsversuche berichtet. CISA hat die aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 94,43 % (100. Perzentile) deutet auf nahezu sichere Ausnutzungsaktivität hin. Bundesbehörden waren verpflichtet, diese Schwachstelle bis zum 2022-07-10 gemäß der verbindlichen CISA-Direktive zu beheben.
Behebung
- Pflichtmaßnahme laut CISA KEV: Apply updates per vendor instructions. Aktualisieren Sie Zimbra Collaboration Suite umgehend auf Version 8.7.11 Patch 10 oder höher.
- Überprüfen Sie, dass alle Zimbra-Instanzen der betroffenen Version 8.7.x (vor 8.7.11p10) auf die gepatchte Version aktualisiert wurden. Prüfen Sie die installierten Patches mit dem Zimbra-Verwaltungstool.
- Falls ein sofortiges Patchen nicht möglich ist, beschränken Sie den externen Netzwerkzugriff auf den Autodiscover-Endpunkt (Autodiscover/Autodiscover.xml) mittels Firewall-Regeln oder Reverse-Proxy-Konfiguration. Deaktivieren Sie die DTD-Verarbeitung in der mailboxd-Konfiguration, soweit möglich. Implementieren Sie Netzwerksegmentierung, um die SSRF-Auswirkungen zu begrenzen.
- Überwachen Sie Zimbra-Server-Logs auf verdächtige Anfragen an den Autodiscover-Endpunkt, insbesondere XML-Anfragen mit externen Entitätsverweisen oder ungewöhnlichen DTD-Deklarationen. Suchen Sie nach Kompromittierungsindikatoren wie unautorisierten Dateizugriffen oder ausgehenden Verbindungen zu unbekannten Servern.
- Implementieren Sie langfristig eine sichere XML-Parser-Konfiguration in allen Zimbra-Komponenten. Verwenden Sie nach Möglichkeit JSON anstelle von XML für Datenübertragungen. Aktivieren Sie regelmäßige Sicherheitsupdates und überwachen Sie die Zimbra Security Advisories.
Technische Details
CVE-2019-9670 ist eine XML External Entity (XXE) Injection-Schwachstelle in der mailboxd-Komponente von Synacor Zimbra Collaboration Suite 8.7.x vor 8.7.11p10. Die Schwachstelle wird über den Autodiscover-Endpunkt (Autodiscover/Autodiscover.xml) ausgelöst, wenn ein schwach konfigurierter XML-Parser externe Entitätsverweise in eingehenden XML-Anfragen ohne Einschränkung verarbeitet. Der CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) bestätigt die maximale Ausnutzbarkeit: Netzwerkbasierter Angriff ohne Authentifizierung, geringe Komplexität und keine Benutzerinteraktion erforderlich, mit schwerwiegenden Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Die XXE-Schwachstelle kann in Kombination mit SSRF-Techniken verwendet werden, um auf interne Netzwerkressourcen zuzugreifen und die Schwachstelle bis zur vollständigen Remote Code Execution zu eskalieren.
Häufig gestellte Fragen
Wird CVE-2019-9670 aktiv ausgenutzt?
Ja. CVE-2019-9670 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was eine aktive Ausnutzung in freier Wildbahn bestätigt. Öffentlicher Exploit-Code ist über mehrere Quellen verfügbar, einschließlich Exploit-DB und eines Metasploit-Moduls. Der EPSS-Score von 94,43 % (100. Perzentile) zeigt eine nahezu sichere Ausnutzungsaktivität.
Welche Produkte sind von CVE-2019-9670 betroffen?
CVE-2019-9670 betrifft Synacor Zimbra Collaboration Suite in den Versionen 8.7.0 bis 8.7.11 (einschließlich 8.7.11 ohne Patch 10). Konkret ist die mailboxd-Komponente betroffen, die den Autodiscover-Dienst bereitstellt. Versionen ab 8.7.11 Patch 10 sind gepatcht.
Wie behebe ich CVE-2019-9670?
Aktualisieren Sie Zimbra Collaboration Suite auf Version 8.7.11 Patch 10 oder höher. Falls ein sofortiges Patchen nicht möglich ist, beschränken Sie den Zugriff auf den Autodiscover-Endpunkt und implementieren Sie Netzwerksegmentierung. Überprüfen Sie Server-Logs auf Anzeichen einer bereits erfolgten Ausnutzung.
Wie schwerwiegend ist CVE-2019-9670?
CVE-2019-9670 hat einen CVSS 3.1-Score von 9.8 (CRITICAL), was die maximale Schweregradklasse darstellt. Die Schwachstelle erfordert keine Authentifizierung und ist trivial aus der Ferne ausnutzbar. Der EPSS-Score von 94,43 % in der 100. Perzentile bestätigt die extreme Bedrohungslage.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.