الفئة: ذكاء نقاط الضعففئة نقاط الضعف الأمنية: تنفيذ التعليمات البرمجية عن بُعدغطاء الكهف: CVE-2022-30333السيرة الذاتية: 3.0 النتيجة: 7.5

ملخص تنفيذي

تهديدتأثيرتخفيف

• يتم استغلال ثغرة RCE في خوادم بريد الويب Zimbra بنشاط لاستهداف منظمات متعددة في جميع أنحاء العالم.
• تم استخدام الاستغلال لإطلاق حملة تصيد ضد أوروبا.

• سيتيح الاستغلال الناجح الوصول إلى كل بريد إلكتروني يتم إرساله واستلامه على الخادم المخترق.
• يمكن استخدام بيانات الاعتماد المسروقة لمستخدمي المؤسسة لتصعيد الوصول وتثبيت الأبواب الخلفية.

• قم بتحديث خوادم بريد الويب Zimbra إلى الإصدار الثنائي 6.12.
• قم بإجراء تدريب لتوعية المستخدم ضد حملات التصيد الاحتيالي.

التحليل

• كلاود سيكمنصة المخاطر الرقمية السياقية للذكاء الاصطناعي الجيل السادس عشر حدد العديد من الجهات الفاعلة في مجال التهديد التي تستغل CVE-2022-30333 لاستهداف خوادم بريد الويب Zimbra الضعيفة.
• CVE-2022-30333 عبارة عن ملف اجتياز المسار ثغرة أمنية في ثنائي UnRAR الخاص بـ RarLab والتي يمكن أن تؤدي إلى تنفيذ التعليمات البرمجية عن بُعد (RCE) على بريد الويب Zimbra وربما تؤثر على الآخرين.
• Zimbra هي خدمة بريد ويب معروفة تستخدمها العديد من الشركات والمنظمات الحكومية، وبالتالي فإن الثغرة الأمنية تشكل خطرًا كبيرًا للاستغلال.
• تتأثر UnRar 6.17 والإصدارات السابقة من البرنامج التالي بهذه الثغرة الأمنية:
• تصحيح Zimbra 9.0.0 24 والإصدارات السابقة
• زيمبرا 8.8.15 باتش 31 والإصدارات السابقة

معلومات من منتديات الجرائم الإلكترونية

• لوحظ قدر كبير من الأحاديث في منتديات وقنوات الجرائم الإلكترونية بخصوص CVE-2022-30333.
• شوهدت الجهات الفاعلة في مجال التهديد تبيع الثغرات الأمنية لهذه الثغرة الأمنية في 4,000 دولار أمريكي.
• شوهدت جهات تهديد متعددة تنشر معلومات حول استغلال ثغرة Zimbra للوصول إلى خوادم البريد الحكومية.

[معرف التسمية التوضيحية = «المرفق _20314" aligncenter «العرض ="1027"] بيع استغلال ثغرة زيمبرا في منتدى الجرائم الإلكترونية [/caption]

معلومات من OSINT

• تعمل الجهات الفاعلة المتعددة في مجال التهديد بنشاط على استغلال ومشاركة نقاط الاتصال الخاصة بهذه الثغرة الأمنية.
• تم استغلال CVE-2022-30333 لإطلاق حملة تصيد بالرمح بنجاح ضد الحكومة والوكالات الأوروبية.
• يستخدم المهاجمون هذه الثغرة الأمنية لإرسال رسائل بريد إلكتروني وجذب الضحايا للنقر على روابط ضارة مصممة خصيصًا.
• تم تنسيق رسائل البريد الإلكتروني المرسلة في حملة التصيد الاحتيالي بشكل متكرر على النحو التالي:
  • <firstname>_ <lastname><numbers>@outlook .com
  • <firstname><lastname><numbers>@outlook .com
• وقد لوحظ ارتفاع كبير في عدد التغريدات التي تشير إلى CVE-2022-30333 خلال الشهر الماضي.

[معرف التسمية التوضيحية = «المرفق _20315" aligncenter «العرض = «788"] زيادة عمليات الاستغلال باستخدام ثغرة Zimbra (المصدر: CVE STALKER) [/caption]  

التفاصيل الفنية

• يستخدم المهاجم أرشيفات RAR التي تم إنشاؤها بشكل ضار، والتي يمكن أن تحتوي على روابط رمزية تشير إلى خارج دليل الاستخراج، لإلغاء الإشارة إلى ملف ثانٍ.
• تستخدم الجهات الفاعلة في مجال التهديد وظيفة دوس سلاش تونيكس () لتحويل الخطوط المائلة العكسية (\) إلى خطوط مائلة للأمام (/) لضمان إمكانية استخراج أرشيف RAR الذي تم إنشاؤه على Windows على نظام Unix.
• يمنح الاستغلال الجهات الفاعلة في مجال التهديد حرية كتابة وقراءة ملف في أي مكان على نظام الضحية.

إثبات المفهوم (PoC)

• مقتطف الشفرة التالي متاح للجمهور PoC (على GitHub) لـ CVE-2022-30333.
• يوفر المهاجم هدفًا مع بعض بيانات الملف كإدخال.
• يقوم الكود بإنشاء ملف .rar سيؤدي ذلك إلى استغلال الثغرة الأمنية واستخراج الملف إلى هذا الموقع.

[معرف التسمية التوضيحية = «المرفق _20316" aligncenter «العرض ="1504"] PoC لثغرة زيمبرا [/caption]

التأثير والتخفيف

التأثيرالتخفيف

• يتيح الاستغلال الناجح للمهاجم الوصول إلى كل بريد إلكتروني يتم إرساله واستلامه على خادم بريد إلكتروني مخترق.
• يمكن استغلال الوصول أعلاه لـ
  • سرقة بيانات اعتماد المستخدم
  • تصعيد الامتيازات
  • تثبيت الأبواب الخلفية

• قم بتحديث خوادم بريد الويب Zimbra إلى الإصدار الثنائي 6.12.
• يجب إجراء تدريب لتوعية المستخدم للسماح للأفراد بالتمييز بين المجال الأصلي ونظيره الاحتيالي.

مؤشرات التسوية (IOCs)

استنادًا إلى حملة التصيد الاحتيالي التي تستغل ثغرة Zimbra، فيما يلي IOCs. البريد الإلكتروني<firstname>_ <lastname><numbers>@outlook .com <firstname><lastname><numbers>@outlook .comعناوين URLhxxp: //fireclaws.spiritfield [.] ga/ [اسم الملف] .jpeg؟ [عدد صحيح] hxxp: //feralrage.spiritfield [.] ga/ [اسم الملف] .jpeg؟ [عدد صحيح] hxxp: //oaksage.spiritfield [.] ga/ [اسم الملف] .jpeg؟ [عدد صحيح] hxxp: //claygolem.spiritfield [.] ga/ [اسم الملف] .jpeg؟ [عدد صحيح]عنوان IP108.160.133.32 172.86.75.158206.166.251.141 206.166.251.166البنية التحتيةفحص أمازون [.] راجع ذكاء الكدمات [.] ml دخول البراغي المشحون. حقل الروح [.] tkmail. الكدمات - الذكاء [.] ml تايجر سترايك. تدفق الرياح الجليدية [.] mlنطاق فرعيhxxps: //update.secretstep [.] tk/ [اسم الملف] .jpeg؟ u= [عدد صحيح] &t= [عدد صحيح ثاني]

المراجع

• #بروتوكول إشارات المرور - ويكيبيديا
• عملية EmailThief: الاستغلال النشط لثغرة XSS في يوم الصفر في زيمبرا | Volexity
• CVE STALKER - مخطط تصنيف CVE (الضعف الجنسي) الأكثر انتشارًا-
• تؤثر ثغرة أمنية في اجتياز المسار غير المألوف على بريد Zimbra (sonarsource.com)

الملحق

[معرف التسمية التوضيحية = «المرفق _20317" align= «alignnone» width="1181"] تم استغلال ثغرة Zimbra من أجل الوصول إلى حسابات البريد الإلكتروني للوكالات الحكومية [/caption] [معرف التسمية التوضيحية = «المرفق _20318" aligncenter «العرض ="669"] نموذج بريد إلكتروني يُستخدم في حملة التصيد بالرمح [/caption] [معرف التسمية التوضيحية = «المرفق _20319" aligncenter «العرض ="933"] تُستخدم وظيفة dossLashToNix () لاستغلال الثغرة الأمنية وتجاوز خطوات التحقق من الصحة [/caption]