CVE-2020-7796
Synacor Zimbra Collaboration Suite (ZCS) Server-Side Request Forgery Vulnerability
Beschreibung
CVE-2020-7796 ist eine kritische Server-Side Request Forgery (SSRF)-Schwachstelle in der Zimbra Collaboration Suite (ZCS) vor Version 8.8.15 Patch 7. Die Schwachstelle befindet sich in der ProxyServlet-Komponente und ermoeglicht es einem nicht authentifizierten Angreifer, manipulierte Anfragen zu senden, um auf interne Dienste zuzugreifen und potenziell beliebigen Code auf dem Server auszufuehren. Mit einem CVSS-Score von 9.8 (CRITICAL) und einem EPSS-Score von 66,28 % (98,44. Perzentil) stellt diese Schwachstelle ein extremes Risiko dar. Die CISA hat CVE-2020-7796 in ihren KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 10. Maerz 2026, was die aktive Ausnutzung in freier Wildbahn bestaetigt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| synacor | zimbra collaboration suite | < 8.8.15; 8.8.15 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://wiki.zimbra.com/wiki/Zimbra_Releases/8.8.15/P7(Release Notes, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-7796(US Government Resource)
Schwachstellentyp
CWE-918: Server-Side Request Forgery (SSRF)
Die Schwachstelle wird als CWE-918 (Server-Side Request Forgery) klassifiziert. Bei einer SSRF-Schwachstelle kann ein Angreifer den Server dazu veranlassen, Anfragen an beliebige Ziele zu senden, die vom Server aus erreichbar sind. Im Fall von CVE-2020-7796 liegt die Schwachstelle in der ProxyServlet-Komponente von Zimbra, die dazu vorgesehen ist, Anfragen zwischen verschiedenen Diensten der Zimbra-Architektur weiterzuleiten. Durch die fehlende Validierung der Ziel-URLs kann ein Angreifer diese Proxy-Funktionalitaet missbrauchen, um auf interne Dienste zuzugreifen oder sogar Remote Code Execution zu erzielen.
Auswirkungsanalyse
Maximale Auswirkung auf alle Schutzziele: Der CVSS-Score von 9.8 zeigt nahezu maximale Auswirkungen an. Vertraulichkeit (C:H) - Ein Angreifer kann ueber die SSRF-Schwachstelle auf interne Zimbra-Dienste und verbundene Systeme zugreifen. Dies umfasst potenziell E-Mail-Inhalte, Adressbuecher, Kalender und weitere vertrauliche Daten der gesamten Benutzerbasis. Integritaet (I:H) - Durch die Moeglichkeit der Remote Code Execution kann ein Angreifer Daten manipulieren, Backdoors installieren und die Systemkonfiguration veraendern. Verfuegbarkeit (A:H) - Der Angreifer kann den Zimbra-Server vollstaendig lahmlegen, was die E-Mail-Kommunikation eines gesamten Unternehmens beeintraechtigen kann.
Angriffsvoraussetzungen: Die Schwachstelle ist besonders gefaehrlich, da keine Authentifizierung (PR:N), keine Benutzerinteraktion (UI:N) und nur geringe Angriffskomplexitaet (AC:L) erforderlich sind. Zimbra-Server sind typischerweise direkt aus dem Internet erreichbar, da sie als E-Mail-Gateway fungieren.
Geschaeftliche Auswirkungen: Zimbra Collaboration Suite wird haeufig von mittelstaendischen und grossen Unternehmen, Behoerden und Bildungseinrichtungen eingesetzt. Eine Kompromittierung kann zur Offenlegung vertraulicher E-Mail-Kommunikation, zum Identitaetsdiebstahl durch Zugriff auf Mitarbeiterkontakte und zur Nutzung des Servers fuer weitere Angriffe fuehren.
Exploit-Reifegrad
CVE-2020-7796 weist eine sehr hohe Exploit-Reife auf. Die Aufnahme in den CISA KEV-Katalog bestaetigt die aktive Ausnutzung in realen Angriffen. Der EPSS-Score von 66,28 % (98,44. Perzentil) zeigt, dass diese Schwachstelle zu den am haeufigsten ausgenutzten 2 % aller bekannten Schwachstellen gehoert.
Oeffentlich bekannte Informationen: Die Schwachstelle ist im Zimbra Bug-Tracker dokumentiert und Patches sind ueber die Zimbra Security Advisories verfuegbar. Die oeffentliche Verfuegbarkeit technischer Details erleichtert die Entwicklung von Exploits.
Historischer Kontext: Zimbra-Server sind ein beliebtes Ziel fuer APT-Gruppen und Cyberkriminelle, da sie als E-Mail-Server wertvolle Daten enthalten und typischerweise direkt aus dem Internet erreichbar sind. Mehrere Zimbra-Schwachstellen wurden in der Vergangenheit fuer gezielte Angriffe genutzt.
Ransomware-Verbindung: Der Ransomware-Status ist als Unknown klassifiziert. Die Kombination aus Remote Code Execution und dem Zugang zu geschaeftskritischen E-Mail-Daten macht diese Schwachstelle jedoch zu einem attraktiven Vektor fuer Ransomware-Angriffe.
Behebung
Sofortiges Patching durchfuehren: Aktualisieren Sie die Zimbra Collaboration Suite umgehend auf mindestens Version 8.8.15 Patch 7 oder 9.0.0 Patch 2 (bzw. neuer). Detaillierte Informationen zu verfuegbaren Patches finden Sie in den Zimbra Security Advisories. Angesichts der CISA-Frist bis zum 10. Maerz 2026 und der aktiven Ausnutzung sollte dieses Update hoechste Prioritaet haben.
Netzwerkbasierte Risikominderung: Bis zum Patching sollten Sie den Zugriff auf die ProxyServlet-Komponente einschraenken. Implementieren Sie eine Web Application Firewall (WAF) mit Regeln, die verdaechtige Proxy-Anfragen blockieren. Beschraenken Sie den Zugriff auf administrative Endpunkte auf vertrauenswuerdige IP-Adressen.
Systemintegritaet pruefen: Da die Schwachstelle aktiv ausgenutzt wird, sollten Sie vor dem Patching eine Ueberpruefung auf bereits erfolgte Kompromittierungen durchfuehren. Suchen Sie nach unbekannten Webshells, ungewoehnlichen Prozessen, verdaechtigen Cron-Jobs und unerwarteten Netzwerkverbindungen.
Zugangsdaten rotieren: Nach dem Patching sollten Sie alle Passwoerter und API-Schluessel rotieren, die auf dem Zimbra-Server gespeichert waren oder ueber ihn zugaenglich waren. Dies umfasst LDAP-Bindungspasswoerter, Admin-Zugangsdaten und moeglicherweise auch Benutzerpasswoerter, wenn eine Kompromittierung vermutet wird.
Technische Details
Die Schwachstelle befindet sich in der ProxyServlet-Komponente der Zimbra Collaboration Suite. Diese Komponente ist fuer die Weiterleitung von HTTP-Anfragen zwischen verschiedenen Zimbra-Diensten (Mailbox, Admin-Konsole, etc.) zustaendig. Durch unzureichende Validierung der Ziel-URLs in Proxy-Anfragen kann ein Angreifer den Server dazu bringen, Anfragen an beliebige interne oder externe Ziele zu senden.
Angriffsablauf: Ein nicht authentifizierter Angreifer sendet eine speziell praeparierte HTTP-Anfrage an den Zimbra-Server, die die ProxyServlet-Komponente dazu veranlasst, eine Anfrage an ein vom Angreifer kontrolliertes Ziel weiterzuleiten. Da der Zimbra-Server die Anfrage im eigenen Kontext ausfuehrt, hat der Angreifer Zugriff auf interne Dienste, die von aussen nicht erreichbar sind. In bestimmten Konfigurationen kann dies zur Ausfuehrung von beliebigem Code auf dem Server fuehren.
Betroffene Versionen: Zimbra Collaboration Suite vor Version 8.8.15 Patch 7 sowie Version 9.0.0 vor Patch 2 sind verwundbar. Dies betrifft sowohl die Open-Source-Edition als auch die Network Edition von Zimbra.
CVSS-Vektor im Detail: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - Der Angriff erfolgt netzwerkbasiert mit niedriger Komplexitaet, ohne Authentifizierung und ohne Benutzerinteraktion. Der Scope ist unveraendert (S:U), aber alle drei Schutzziele sind maximal betroffen, was den Score von 9.8 ergibt.
Häufig gestellte Fragen
Ist mein Zimbra-Server betroffen?
Wenn Sie Zimbra Collaboration Suite in einer Version vor 8.8.15 Patch 7 oder Version 9.0.0 vor Patch 2 einsetzen, ist Ihr Server verwundbar. Ueberpruefen Sie die installierte Version ueber die Admin-Konsole oder den Befehl zmcontrol -v auf dem Server.
Kann ein Angreifer ueber diese Schwachstelle E-Mails lesen?
Ja, die SSRF-Schwachstelle ermoeglicht den Zugriff auf interne Zimbra-Dienste, was den Zugriff auf E-Mail-Inhalte, Adressbuecher und Kalender einschliesst. Bei einer erfolgreichen Ausnutzung mit Remote Code Execution hat der Angreifer vollstaendigen Zugriff auf alle auf dem Server gespeicherten Daten.
Warum hat diese SSRF-Schwachstelle einen so hohen CVSS-Score?
Der Score von 9.8 ergibt sich aus der Kombination mehrerer Faktoren: keine Authentifizierung erforderlich, geringe Angriffskomplexitaet, keine Benutzerinteraktion noetig und maximale Auswirkungen auf Vertraulichkeit, Integritaet und Verfuegbarkeit. Die Moeglichkeit der Remote Code Execution macht diese SSRF-Schwachstelle besonders gefaehrlich.
Gibt es einen Workaround, wenn ich nicht sofort patchen kann?
Als temporaere Massnahme sollten Sie den Zugriff auf die ProxyServlet-Endpunkte ueber eine Web Application Firewall (WAF) oder Reverse Proxy einschraenken. Beschraenken Sie ausserdem den ausgehenden Netzwerkverkehr des Zimbra-Servers auf das notwendige Minimum und ueberwachen Sie die Logs auf verdaechtige Proxy-Anfragen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.