Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] Zimbra Collaboration opravuje 1 zranitelnost

Zimbra verzemi 9.0.0 Patch 41, 10.0.9, 10.1.1 a 8.8.15 Patch 46 opravuje 1 zranitelnost v produktu Zimbra Collaboration [1].

Zimbra Collaboration - injekce příkazů (CVE-2024-45519)
CVSS 10.0 (Critical)

Neautentizovanému vzdálenému útočníkovi je za určitých okolností umožněno spouštět příkazy v operačním systému postiženého stroje zasláním speciálně vytvořeného e-mailu [2] [3]. Pro zneužití zranitelnosti je nutné, aby byla povolena služba "postjournal" (která je v základní konfiguraci zakázána) a aby byl útočník autentizován nebo jeho IP adresa byla z rozsahu <Public IP>/20, kde "Public IP" je veřejná IP adresa postiženého stroje [2]. Podrobnosti a PoC k zranitelnosti je možné nalézt na [2].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Více informací:

  • CVE-2024-45519 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 27. 9. 2024.

Za CESNET, z.s.p.o. Martin Krajči dne 3. 10. 2024.

CESNET, z.s.p.o. Logo