[TLP:CLEAR] Zimbra Collaboration opravuje 1 zraniteľnosť

Zimbra verziami 9.0.0 Patch 41, 10.0.9, 10.1.1 a 8.8.15 Patch 46 opravuje 1 zraniteľnosť v produkte Zimbra Collaboration [1].

Zimbra Collaboration - command injection (CVE-2024-45519)
CVSS 10.0 (Critical)

Neautentizovanému vzdialenému útočníkovi je za určitých okolností umožnené spúšťať príkazy v operačnom systéme postihnutého stroja zaslaním špeciálne vytvoreného emailu [2] [3]. Pre zneužitie zraniteľnosti je potrebné, aby bola povolená služba "postjournal" (ktorá je v základnej konfigurácii zákázaná) a aby bol útočník autentizovaný alebo jeho IP adresa bola z rozsahu <Public IP>/20, kde "Public IP" je verejná IP adresa postihnutého stroja [2]. Podrobnosti a PoC k zraniteľnosti je možné nájsť na [2].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

  • CVE-2024-45519 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 27. 9. 2024.

Za CESNET, z.s.p.o. Martin Krajči dňa 3. 10. 2024.

CESNET, z.s.p.o. Logo