[TLP:CLEAR] Zimbra Collaboration opravuje vysoce závažnou zranitelnost

Zimbra verzemi 9.0.0 Patch 41, 10.0.9, 10.1.1 a 8.8.15 Patch 46 opravuje další zranitelnost v produktu Zimbra Collaboration [1].

Zimbra Collaboration - remote code execution (CVE-2024-45518)
CVSS 8.8 (High)

Autentizovanému vzdálenému útočníkovi je umožněno zneužít Server-Side Request Forgery (SSRF) zranitelnost kvůli nedostatečnému ošetření vstupů a nesprávně nakonfigurovanému whitelistu domén, což umožňuje útočníkovi zasílat neautorizované HTTP požadavky na interní služby. Tímto způsobem může dojít k vykonání vzdáleného spuštění kódu prostřednictvím řetězení Command Injection v rámci interní služby. V kombinaci s existujícími XSS zranitelnostmi může SSRF vzdálené spuštění kódu usnadnit [2].

Zranitelnost se nachází v produktu:

  • Zimbra Collaboration; >=10.1.0, <10.1.1; 10.0.0, <10.0.9; >=9.0.0, 9.0.0 Patch 41; >=8.8.15, <8.8.15 Patch 46

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 22. 10. 2024.

Za CESNET, z.s.p.o. Michaela Jarošová dne 4. 11. 2024.

CESNET, z.s.p.o. Logo