CVE-2025-68645
Synacor Zimbra Collaboration Suite (ZCS) PHP Remote File Inclusion Vulnerability
Beschreibung
CVE-2025-68645 ist eine Local File Inclusion (LFI) Schwachstelle in der Webmail Classic UI von Zimbra Collaboration Suite (ZCS). Durch unsachgemaesse Verarbeitung von Anfrageparametern im RestFilter-Servlet kann ein nicht authentifizierter Angreifer beliebige Dateien aus dem WebRoot-Verzeichnis einbinden. Mit einem CVSS-Score von 8.8 (HIGH) und einem EPSS-Score von 22,92 % (95,8. Perzentil) stellt diese Schwachstelle eine erhebliche Bedrohung dar. Die CISA hat CVE-2025-68645 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 12. Februar 2026. Betroffen sind Zimbra Collaboration Suite 10.0 (vor 10.0.18) und 10.1 (vor 10.1.13).
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| synacor | zimbra collaboration suite | >= 10.0.0, < 10.0.18; >= 10.1.0, < 10.1.13 |
Referenzen
- https://wiki.zimbra.com/wiki/Security_Center(Release Notes, Vendor Advisory)
- https://wiki.zimbra.com/wiki/Zimbra_Responsible_Disclosure_Policy(Product)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-68645(US Government Resource)
Schwachstellentyp
CWE-98: Improper Control of Filename for Include/Require Statement in PHP Program
CWE-98 (Improper Control of Filename for Include/Require Statement) beschreibt eine Schwachstellenklasse, bei der eine Anwendung Benutzereingaben verwendet, um den Dateinamen in einer Include- oder Require-Anweisung zu bestimmen, ohne diese Eingaben ausreichend zu validieren. Obwohl die CWE-Klassifikation PHP-spezifisch formuliert ist, trifft das Grundprinzip auch auf Java-basierte Anwendungen wie Zimbra zu. Im Fall von CVE-2025-68645 manipuliert ein Angreifer Anfrageparameter an den /h/rest-Endpunkt, um die interne Anfragedispatching-Logik zu beeinflussen und beliebige Dateien aus dem WebRoot-Verzeichnis einzubinden. Mehr erfahren
Auswirkungsanalyse
Zugriff auf vertrauliche Serverdateien und potenzielle Codeausfuehrung: Die schwerwiegendste Auswirkung ist die Moeglichkeit, beliebige Dateien aus dem WebRoot-Verzeichnis des Zimbra-Servers einzubinden und deren Inhalt auszulesen. Vertraulichkeit (C:H) ermoeglicht den Zugriff auf Konfigurationsdateien mit Zugangsdaten, Session-Tokens, E-Mail-Inhalte und andere sensible Daten im WebRoot. Integritaet (I:H) kann durch die Kombination der LFI mit anderen Angriffstechniken zur Codeausfuehrung eskaliert werden, beispielsweise durch das Einbinden von Log-Dateien mit eingeschleusten Befehlen. Verfuegbarkeit (A:H) ist gefaehrdet, wenn der Angreifer durch Eskalation vollstaendige Kontrolle ueber den Server erlangt.
Benutzerinteraktion erforderlich: Der CVSS-Vektor zeigt, dass eine Benutzerinteraktion (UI:R) erforderlich ist, obwohl der Angriff netzwerkbasiert (AV:N) und ohne Authentifizierung (PR:N) moeglich ist. Dies deutet darauf hin, dass der Angreifer einen Benutzer dazu verleiten muss, einen speziell praeparierten Link anzuklicken, der die LFI-Payload enthaelt.
EPSS und Ransomware: Der EPSS-Score von 22,92 % (95,8. Perzentil) zeigt eine hohe Ausnutzungswahrscheinlichkeit. Der Ransomware-Status ist Unknown. Zimbra-Server sind jedoch regelmässig Ziel von APT-Gruppen und koennten auch fuer Ransomware-Kampagnen instrumentalisiert werden.
Exploit-Reifegrad
CVE-2025-68645 weist eine hohe Exploit-Reife auf. Die Aufnahme in den CISA KEV-Katalog bestaetigt die aktive Ausnutzung in freier Wildbahn. Zimbra hat Sicherheitsinformationen im Security Center veroeffentlicht.
EPSS-Kontext: Mit einem EPSS-Score von 22,92 % (95,8. Perzentil) gehoert CVE-2025-68645 zu den oberen 5 % der am wahrscheinlichsten ausgenutzten Schwachstellen. Zimbra-Schwachstellen werden erfahrungsgemaess schnell nach Bekanntwerden von verschiedenen Bedrohungsakteuren angegriffen.
Historischer Kontext: Zimbra Collaboration Suite war in den vergangenen Jahren wiederholt Ziel von Angriffen. Schwachstellen in Zimbra wurden von staatlichen Akteuren und cyberkriminellen Gruppen gleichermassen ausgenutzt. Die Classic Webmail UI ist als Legacy-Komponente besonders anfaellig, da sie aeltere Architekturentscheidungen enthaelt.
Ransomware-Verbindung: Der Ransomware-Status ist Unknown. Mailserver enthalten jedoch hochsensible Unternehmensdaten und sind bevorzugte Ziele fuer Erpressungsangriffe.
Behebung
- Zimbra auf die gepatchte Version aktualisieren: Aktualisieren Sie Zimbra Collaboration Suite 10.0 auf mindestens Version 10.0.18 oder ZCS 10.1 auf mindestens Version 10.1.13. Konsultieren Sie das Zimbra Security Center fuer detaillierte Update-Anweisungen.
- Classic Webmail UI deaktivieren: Deaktivieren Sie die verwundbare Classic Webmail UI, wenn sie nicht benoetigt wird, und migrieren Sie Benutzer auf die moderne Webmail-Oberflaeche. Die Classic UI ist eine Legacy-Komponente mit erhoehtem Sicherheitsrisiko.
- Web Application Firewall konfigurieren: Implementieren Sie WAF-Regeln, die verdaechtige Anfragen an den /h/rest-Endpunkt blockieren, insbesondere solche mit Path-Traversal-Mustern oder ungewoehnlichen Parametern. Dies bietet einen zusaetzlichen Schutz, ersetzt aber nicht das Update.
- Zugriffslogs pruefen: Analysieren Sie die Webserver-Logs auf verdaechtige Anfragen an den /h/rest-Endpunkt, insbesondere Anfragen mit ungewoehnlichen Parametern oder Path-Traversal-Sequenzen. Pruefen Sie, ob vertrauliche Dateien kompromittiert wurden.
- Netzwerksegmentierung sicherstellen: Stellen Sie sicher, dass der Zimbra-Server in einem dedizierten Netzwerksegment betrieben wird und der Zugriff auf Verwaltungsschnittstellen auf autorisierte Administratoren beschraenkt ist.
Technische Details
Die Schwachstelle befindet sich im RestFilter-Servlet der Zimbra Webmail Classic UI. Dieses Servlet verarbeitet Anfragen an den /h/rest-Endpunkt und ist fuer die Bereitstellung von Ressourcen wie E-Mail-Anhaengen, Kontaktfotos und anderen Dateien zustaendig. Durch unsachgemaesse Validierung der Anfrageparameter kann ein Angreifer die interne Dispatching-Logik beeinflussen und das Servlet dazu bringen, beliebige Dateien aus dem WebRoot-Verzeichnis einzubinden.
CVSS-Vektor im Detail: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H - Der Angriff erfolgt netzwerkbasiert (AV:N) mit niedriger Komplexitaet (AC:L), erfordert keine Privilegien (PR:N), aber eine Benutzerinteraktion (UI:R). Der Scope ist unveraendert (S:U), aber alle drei Schutzziele sind maximal betroffen (C:H/I:H/A:H).
Angriffsmechanismus: Der Angreifer erstellt eine speziell praeparierte URL, die an den /h/rest-Endpunkt gerichtet ist und manipulierte Anfrageparameter enthaelt. Diese Parameter beeinflussen die interne Requestverarbeitung im RestFilter-Servlet und bewirken, dass anstelle der angeforderten Ressource eine beliebige Datei aus dem WebRoot-Verzeichnis geladen und zurueckgegeben wird. Dies kann Konfigurationsdateien, JSP-Quellcode, Session-Daten oder andere sensible Dateien umfassen.
Betroffene Versionen: Zimbra Collaboration Suite 10.0 (alle Versionen vor 10.0.18) und ZCS 10.1 (alle Versionen vor 10.1.13). Aeltere Hauptversionen (8.x, 9.x) verwenden eine andere RestFilter-Implementierung und sind von dieser spezifischen Schwachstelle nicht betroffen.
Häufig gestellte Fragen
Ist meine Zimbra-Installation von CVE-2025-68645 betroffen?
Wenn Sie Zimbra Collaboration Suite 10.0 (vor Version 10.0.18) oder ZCS 10.1 (vor Version 10.1.13) einsetzen, ist Ihre Installation verwundbar. Pruefen Sie die installierte Version ueber die Administratorkonsole oder mit dem Befehl zmcontrol -v auf dem Server.
Kann die Schwachstelle ohne Authentifizierung ausgenutzt werden?
Ja, die Schwachstelle erfordert keine Authentifizierung (PR:N). Allerdings ist eine Benutzerinteraktion (UI:R) erforderlich, was typischerweise bedeutet, dass ein Benutzer einen speziell praeparierten Link anklicken muss. Angreifer koennen solche Links per Phishing-E-Mail verbreiten.
Was ist die Zimbra Classic Webmail UI?
Die Classic Webmail UI ist die aeltere HTML-basierte Webmail-Oberflaeche von Zimbra. Sie wird parallel zur modernen AJAX-basierten Oberflaeche angeboten und wird haeufig von Benutzern mit aelteren Browsern oder eingeschraenkter Bandbreite verwendet. Da es sich um Legacy-Code handelt, hat sie ein erhoehtes Sicherheitsrisiko.
Sollte ich die Classic UI nach dem Update trotzdem deaktivieren?
Das Update behebt die spezifische LFI-Schwachstelle. Die Deaktivierung der Classic UI ist dennoch empfehlenswert, da Legacy-Komponenten generell eine groessere Angriffsoberflaeche bieten. Wenn alle Benutzer die moderne Webmail-Oberflaeche nutzen koennen, reduziert die Deaktivierung das Gesamtrisiko.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.