CVE-2022-27925
Synacor Zimbra Collaboration Suite (ZCS) Arbitrary File Upload Vulnerability
Beschreibung
CVE-2022-27925 ist eine Schwachstelle für beliebigen Datei-Upload in der Synacor Zimbra Collaboration Suite (ZCS), die es einem authentifizierten Angreifer ermöglicht, über die mboximport-Funktionalität beliebige Dateien hochzuladen und Remote-Codeausführung auf dem Server zu erlangen. In Kombination mit CVE-2022-37042, einer Authentifizierungsumgehungs-Schwachstelle, ermöglicht dieser Fehler nicht authentifizierte Remote-Codeausführung. CISA hat CVE-2022-27925 in den Katalog der bekannten ausgenutzten Schwachstellen aufgenommen und bestätigt die Verwendung in Ransomware-Kampagnen. Mit einem EPSS-Score von 94,3 % (99,9. Perzentil) ist dies eine der am aktivsten ausgenutzten Schwachstellen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| synacor | zimbra collaboration suite | 8.8.15; 9.0.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/168146/Zimbra-Zip-Path-Traversal.html(Exploit, Third Party Advisory, VDB Entry)
- https://wiki.zimbra.com/wiki/Security_Center(Vendor Advisory)
- https://wiki.zimbra.com/wiki/Zimbra_Releases/9.0.0/P24(Release Notes, Vendor Advisory)
- https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-27925(US Government Resource)
Schwachstellentyp
CWE-434: Unrestricted Upload of File with Dangerous Type
CVE-2022-27925 nutzt eine unbeschränkte Datei-Upload-Schwachstelle in der mboximport-Funktionalität der Zimbra Collaboration Suite aus. Der Datei-Upload-Mechanismus validiert oder beschränkt die Typen der hochladbaren Dateien nicht ordnungsgemäß, wodurch ein Angreifer ausführbare Dateien wie Web-Shells hochladen kann, die anschließend auf dem Server ausgeführt werden. Im Kontext von ZCS ermöglicht dies dem Angreifer, bösartigen Code auf dem Mailserver zu platzieren, der persistenten Remote-Zugriff bietet.
Mehr erfahren: CWE-434 — Unrestricted Upload of File with Dangerous Type
Auswirkungsanalyse
CVE-2022-27925 stellt ein kritisches Risiko für Organisationen dar, die die Zimbra Collaboration Suite verwenden, da der beliebige Datei-Upload durch Web-Shell-Deployment zur vollständigen Serverkompromittierung führen kann. Obwohl die Schwachstelle selbst Authentifizierung erfordert, beseitigt die Kombination mit CVE-2022-37042 diese Hürde und ermöglicht vollständig nicht authentifizierte Angriffe. Eine erfolgreiche Ausnutzung gewährt dem Angreifer die Fähigkeit, beliebigen Code auf dem Mailserver auszuführen und bietet Zugang zu allen E-Mail-Kommunikationen, gespeicherten Anhängen, Adressbüchern und Kalenderdaten. Die Vertraulichkeit ist schwerwiegend betroffen, da alle E-Mail-Daten exfiltriert werden können; die Integrität ist kompromittiert, da der Angreifer Mail-Routing modifizieren und Inhalte injizieren kann; und die Verfügbarkeit kann durch Service-Manipulation oder Ransomware-Einsatz beeinträchtigt werden. Die bestätigte Verwendung in Ransomware-Kampagnen und der EPSS-Score von 94,3 % unterstreichen das extreme reale Risiko.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2022-27925 bestätigt, indem die Schwachstelle am 11. August 2022 in den Katalog der bekannten ausgenutzten Schwachstellen aufgenommen wurde, mit einer Behebungsfrist bis zum 1. September 2022. Diese Schwachstelle wird bekanntermaßen in Ransomware-Kampagnen eingesetzt, was die Bedrohung für Organisationen erheblich erhöht. Der EPSS-Score von 94,3 % (99,9. Perzentil) platziert sie unter den am aktivsten ausgenutzten Schwachstellen weltweit. In Kombination mit CVE-2022-37042, der Authentifizierungsumgehung, wird der Angriff nicht authentifiziert, was die Ausnutzungshürde drastisch senkt und Massenscans sowie automatisierte Ausnutzungskampagnen gegen internetexponierte Zimbra-Instanzen ermöglicht.
Behebung
- Zimbra-Sicherheitsupdates sofort einspielen: Installieren Sie die Patches, die im Zimbra-Sicherheitshinweis für CVE-2022-27925 referenziert werden und den beliebigen Datei-Upload in der mboximport-Funktionalität beheben.
- Auch CVE-2022-37042 patchen: Da diese Schwachstellen häufig zusammen ausgenutzt werden, stellen Sie sicher, dass sowohl CVE-2022-27925 als auch die Authentifizierungsumgehung CVE-2022-37042 gleichzeitig gepatcht werden.
- Nach Web-Shells und Kompromittierungsindikatoren suchen: Führen Sie eine gründliche Überprüfung der Zimbra-Installation auf hochgeladene Web-Shells, nicht autorisierte Dateien in webzugänglichen Verzeichnissen und verdächtige geplante Aufgaben durch.
- Zugriff auf Zimbra-Management-Schnittstelle einschränken: Implementieren Sie netzwerkbasierte Zugriffskontrollen, um zu begrenzen, wer die Zimbra-Administration und mboximport-Endpunkte erreichen kann.
- E-Mail-Sicherheitsüberwachung implementieren: Setzen Sie Monitoring für anomales Mailserver-Verhalten ein, einschließlich ungewöhnlicher ausgehender Datenübertragungen, unerwarteter administrativer Aktionen und Anzeichen von Ransomware-Aktivität.
Technische Details
CVE-2022-27925 ist eine Schwachstelle für beliebigen Datei-Upload in der mboximport-Funktionalität der Synacor Zimbra Collaboration Suite. Die mboximport-Funktion ist für Administratoren zum Import von Mailbox-Daten vorgesehen, enthält jedoch einen Fehler, bei dem der Typ und Inhalt der hochgeladenen Datei nicht ordnungsgemäß validiert werden. Ein authentifizierter Angreifer kann dies ausnutzen, um beliebige Dateien, einschließlich JSP-Web-Shells, in die webzugänglichen Verzeichnisse des Servers hochzuladen. Nach dem Upload können diese Dateien über den Webserver aufgerufen werden, um beliebige Befehle auf dem zugrundeliegenden Betriebssystem auszuführen. Der kritische Eskalationspfad entsteht, wenn diese Schwachstelle mit CVE-2022-37042 verkettet wird, einer Authentifizierungsumgehung im MailboxImportServlet, die die Authentifizierungsanforderung vollständig beseitigt. Zusammen bilden diese beiden Schwachstellen eine vollständige nicht authentifizierte Remote-Code-Execution-Kette, die weithin gegen internetexponierte Zimbra-Installationen ausgenutzt wird.
Häufig gestellte Fragen
Wird CVE-2022-27925 aktiv ausgenutzt?
Ja. CISA hat die aktive Ausnutzung von CVE-2022-27925 bestätigt und die Schwachstelle in den Katalog der bekannten ausgenutzten Schwachstellen aufgenommen. Die Schwachstelle wird bekanntermaßen in Ransomware-Kampagnen eingesetzt. Der EPSS-Score von 94,3 % (99,9. Perzentil) zeigt nahezu sichere Ausnutzung an, insbesondere in Kombination mit CVE-2022-37042.
Welche Produkte sind von CVE-2022-27925 betroffen?
CVE-2022-27925 betrifft die Synacor Zimbra Collaboration Suite (ZCS). Die Schwachstelle liegt in der mboximport-Funktionalität. Organisationen, die Zimbra für E-Mail-Dienste einsetzen, sollten den Zimbra-Sicherheitshinweis für spezifische betroffene Versionen konsultieren und Patches sofort einspielen.
Wie behebe ich CVE-2022-27925?
Spielen Sie die Sicherheitsupdates von Zimbra ein, die sowohl CVE-2022-27925 als auch CVE-2022-37042 beheben, da diese Schwachstellen häufig zusammen ausgenutzt werden. Scannen Sie nach dem Patching die Zimbra-Installation auf Web-Shells oder andere Kompromittierungsindikatoren.
Wie schwerwiegend ist CVE-2022-27925?
CVE-2022-27925 ist eine äußerst schwerwiegende Schwachstelle mit einem EPSS-Score von 94,3 % (99,9. Perzentil) und bestätigter Verwendung in Ransomware-Kampagnen. In Kombination mit CVE-2022-37042 ermöglicht sie vollständig nicht authentifizierte Remote-Codeausführung auf Zimbra-Mailservern und gefährdet alle E-Mail-Daten.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.