CVE-2024-45519
Synacor Zimbra Collaboration Suite (ZCS) Command Execution Vulnerability
Beschreibung
CVE-2024-45519 ist eine kritische Remote-Code-Execution-Schwachstelle im postjournal-Dienst der Zimbra Collaboration Suite (ZCS), die es unauthentifizierten Angreifern ermoeglicht, beliebige Befehle auf dem Server auszufuehren. Die Schwachstelle erhaelt den hoechstmoeglichen CVSS-Score von 10.0 (CRITICAL) und betrifft ZCS-Versionen vor 8.8.15 Patch 46, 9.0.0 Patch 41, 10.0.9 und 10.1.1.
Die CISA hat CVE-2024-45519 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2024-10-24. Der EPSS-Score von 94,11 % (99,9. Perzentil) signalisiert eine nahezu sichere aktive Ausnutzung. Oeffentlich verfuegbarer Exploit-Code verstaerkt die Bedrohungslage erheblich.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| synacor | zimbra collaboration suite | < 8.8.15; >= 10.0.0, < 10.0.9; 8.8.15; 9.0.0; 10.1.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://wiki.zimbra.com/wiki/Security_Center(Release Notes)
- https://wiki.zimbra.com/wiki/Zimbra_Releases/10.0.9#Security_Fixes(Release Notes)
- https://wiki.zimbra.com/wiki/Zimbra_Releases/10.1.1#Security_Fixes(Release Notes)
- https://wiki.zimbra.com/wiki/Zimbra_Releases/8.8.15/P46#Security_Fixes(Release Notes)
- https://wiki.zimbra.com/wiki/Zimbra_Releases/9.0.0/P41#Security_Fixes(Release Notes)
- https://wiki.zimbra.com/wiki/Zimbra_Responsible_Disclosure_Policy(Not Applicable)
- https://blog.projectdiscovery.io/zimbra-remote-code-execution/(Exploit)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-45519(US Government Resource)
Schwachstellentyp
Remote Code Execution im postjournal-Dienst
CVE-2024-45519 betrifft den postjournal-Dienst der Zimbra Collaboration Suite, der fuer die E-Mail-Journaling-Funktionalitaet zustaendig ist. Die Schwachstelle ermoeglicht es unauthentifizierten Angreifern, ueber den postjournal-Dienst beliebige Betriebssystembefehle auszufuehren. Dies entspricht einer Command Injection, bei der Benutzereingaben ungefiltert an das Betriebssystem weitergeleitet werden.
Die fehlende Authentifizierung in Kombination mit der Moeglichkeit zur Befehlsausfuehrung macht diese Schwachstelle besonders gefaehrlich. Ein Angreifer benoetigt lediglich Netzwerkzugang zum Zimbra-Server, um die Schwachstelle auszunutzen.
Weitere Informationen: CWE-78 -- Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-45519 sind katastrophal, da ein unauthentifizierter Angreifer die vollstaendige Kontrolle ueber den Zimbra-Server erlangen kann. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H beschreibt die maximale Bedrohungsstufe mit Scope-Aenderung. Vertraulichkeit (Hoch): Alle E-Mails, Kontakte, Kalender und Anhaenge auf dem Zimbra-Server werden kompromittiert. Bei Unternehmensinstallationen kann dies Tausende von Postfaechern betreffen. Integritaet (Hoch): Der Angreifer kann E-Mails manipulieren, faelschliche Nachrichten versenden und die Serverkonfiguration aendern. Verfuegbarkeit (Hoch): Der gesamte E-Mail-Dienst kann ausser Betrieb gesetzt werden. Scope-Aenderung (Changed): Die Schwachstelle kann genutzt werden, um andere Systeme im Netzwerk anzugreifen, da der kompromittierte Server als Sprungbrett dient.
Der EPSS-Score von 94,11 % (99,9. Perzentil) und die oeffentlich verfuegbaren Exploits machen CVE-2024-45519 zu einer der gefaehrlichsten E-Mail-Server-Schwachstellen. Zimbra-Server sind haeufig direkt aus dem Internet erreichbar, was die Angriffsflaeche erheblich vergroessert.
Exploit-Reifegrad
CVE-2024-45519 weist eine maximale Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle mit einer Behebungsfrist bis zum 2024-10-24 in den KEV-Katalog aufgenommen. Der EPSS-Score von 94,11 % (99,9. Perzentil) gehoert zu den hoechsten beobachteten Werten.
Besonders alarmierend ist die Veroeffentlichung einer detaillierten technischen Analyse mit Exploit-Code durch Project Discovery, die die Schwachstelle im Detail dokumentiert und fuer jeden reproduzierbar macht. Zimbra hat Sicherheitsupdates in mehreren Versionen bereitgestellt, darunter Version 10.0.9, Version 10.1.1, Version 8.8.15 P46 und Version 9.0.0 P41. Der Ransomware-Status ist als "Unknown" klassifiziert, jedoch ist die Schwachstelle aufgrund der vollstaendigen Serveruebernahme ideal fuer Ransomware-Angriffe geeignet.
Behebung
-
Zimbra Collaboration Suite umgehend aktualisieren: Installieren Sie die gepatchten Versionen: ZCS 8.8.15 Patch 46, 9.0.0 Patch 41, 10.0.9 oder 10.1.1. Konsultieren Sie das Zimbra Security Center fuer aktuelle Sicherheitsinformationen.
-
postjournal-Dienst deaktivieren: Falls das Update nicht sofort moeglich ist, deaktivieren Sie den postjournal-Dienst als Sofortmassnahme. Pruefen Sie, ob die Journaling-Funktionalitaet in Ihrer Umgebung aktiv genutzt wird, und deaktivieren Sie den Dienst ueber die Zimbra-Administrationskonsole.
-
Netzwerkzugang zum postjournal-Dienst einschraenken: Implementieren Sie Firewall-Regeln, die den Zugriff auf den postjournal-Port auf vertrauenswuerdige IP-Adressen beschraenken. Stellen Sie sicher, dass der Dienst nicht direkt aus dem Internet erreichbar ist.
-
Forensische Untersuchung durchfuehren: Pruefen Sie Zimbra-Logs auf verdaechtige Aktivitaeten im Zusammenhang mit dem postjournal-Dienst. Suchen Sie nach ungewoehnlichen Prozessen, neuen Benutzerkonten oder modifizierten Konfigurationsdateien, die auf eine Kompromittierung hindeuten.
-
Backup und Wiederherstellungsplan bereithalten: Stellen Sie sicher, dass aktuelle Backups aller Zimbra-Daten vorhanden sind. Bereiten Sie einen Wiederherstellungsplan fuer den Fall einer Kompromittierung vor, der die Neuinstallation und Migration der E-Mail-Daten umfasst.
Technische Details
CVE-2024-45519 betrifft den postjournal-Dienst der Zimbra Collaboration Suite in Versionen vor 8.8.15 Patch 46, 9.0.0 vor Patch 41, 10.0.0 bis 10.0.8 sowie 10.1.0. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H beschreibt die maximale Bedrohungsstufe mit Scope-Aenderung. Angriffsvektor (Netzwerk): Der Angriff erfolgt remote ueber das Netzwerk zum postjournal-Dienst. Angriffskomplexitaet (Niedrig): Keine speziellen Bedingungen oder Vorbereitungen notwendig. Berechtigungen (Keine): Keinerlei Authentifizierung erforderlich. Benutzerinteraktion (Keine): Der Angriff kann vollstaendig automatisiert und ohne jede Benutzerinteraktion durchgefuehrt werden. Scope (Changed): Der Angreifer kann vom Zimbra-Server aus weitere Systeme im Netzwerk angreifen.
Der Angriffsmechanismus basiert auf einer unzureichenden Eingabevalidierung im postjournal-Dienst, der fuer die E-Mail-Journaling-Funktionalitaet zustaendig ist. Unauthentifizierte Benutzer koennen speziell praeparierte Anfragen senden, die Shell-Metazeichen enthalten und vom Dienst ungefiltert an das Betriebssystem weitergeleitet werden. Die technische Analyse von Project Discovery dokumentiert den Exploit-Pfad im Detail.
Häufig gestellte Fragen
Wie kritisch ist CVE-2024-45519 im Vergleich zu anderen Zimbra-Schwachstellen?
Mit einem CVSS-Score von 10.0 ist CVE-2024-45519 eine der kritischsten Zimbra-Schwachstellen ueberhaupt. Die Kombination aus fehlender Authentifizierung, netzwerkbasiertem Angriffsvektor und der Moeglichkeit zur vollstaendigen Serveruebernahme macht sie besonders gefaehrlich. Oeffentlich verfuegbarer Exploit-Code und ein EPSS-Score von 94,11 % unterstreichen die Dringlichkeit.
Muss der postjournal-Dienst aktiv sein, damit die Schwachstelle ausnutzbar ist?
Ja, der postjournal-Dienst muss aktiv und erreichbar sein, damit die Schwachstelle ausgenutzt werden kann. Wenn der Dienst deaktiviert ist, besteht kein direktes Risiko. Allerdings kann der Dienst in manchen Zimbra-Konfigurationen standardmaessig aktiviert sein, weshalb eine Ueberpruefung dringend empfohlen wird.
Welche Zimbra-Versionen sind sicher?
Sichere Versionen sind ZCS 8.8.15 Patch 46 und hoeher, 9.0.0 Patch 41 und hoeher, 10.0.9 und hoeher sowie 10.1.1 und hoeher. Alle aelteren Versionen sind potenziell verwundbar und muessen aktualisiert werden.
Kann ein Angreifer nach der Ausnutzung auf alle E-Mails zugreifen?
Ja, da die Schwachstelle die Ausfuehrung beliebiger Betriebssystembefehle ermoeglicht, erhaelt der Angreifer Zugriff auf alle auf dem Server gespeicherten E-Mails, Kontakte und Dateien. Zusaetzlich kann er den Server als Ausgangspunkt fuer weitere Angriffe im Netzwerk nutzen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.