الفئة: ذكاء نقاط الضعففئة نقاط الضعف الأمنية: تنفيذ التعليمات البرمجية عن بُعدغطاء الكهف: CVE-2022-37042السيرة الذاتية: 3.0 النتيجة: 9.8

ملخص تنفيذي

تهديدتأثيرتخفيف

• يتم استغلال ثغرة RCE في مجموعة Zimbra Collaboration Suite (ZCS) بنشاط في البرية.
• تم إدراج الثغرة الأمنية في «كتالوج الثغرات الأمنية المعروفة المستغلة» الخاص بـ CISA.

• يمكن أن تسمح الثغرة الأمنية للجهات الفاعلة في التهديد بالوصول الأولي إلى شبكة المؤسسة وإجراء المزيد من الاستغلال.

• قم بتحديث ZCS إلى التصحيحات التالية:
  • 9.0.0P26
  • 8.8.15 ص 33

التحليل

• في 10 مايو 2022، كشفت زيمبرا CVE-2022-27925 كثغرة أمنية في اجتياز الدليل المصدق.
• تؤثر هذه الثغرة الأمنية على مجموعة Zimbra Collaboration Suite (ZCS) الإصدارين 8.8.15 و 9.0، اللذين يستخدمان استيراد ام بوكس وظيفة لتلقي أرشيفات ZIP واستخراج الملفات منها.
• ومع ذلك، في 10 أغسطس 2022، أصدرت Volexity، وهي شركة للطب الشرعي السيبراني والاستجابة للحوادث، تقريرًا يفيد بأن هذه الثغرة الأمنية قد استخدمت لاستغلال خوادم البريد الإلكتروني ZCS لمؤسسات متعددة دون الوصول المصدق إلى مثيلات ZCS.
• تم تعيين اجتياز دليل تجاوز المصادقة وثغرة RCE CVE-2022-37042 مع VSS V3 درجة 9.8.
• CVE-2022-37042 مخارج بسبب رقعة غير مكتملة من CVE-2022-27925 الضعف.
• تحقق المزيد من التحقيقات التي أجرتها Volexity من أنه كان من الممكن تجاوز المصادقة عند الوصول إلى استيراد ام بوكس نقطة النهاية.
• استنادًا إلى عمليات المسح على مستوى الإنترنت التي أجرتها Volexity، تم اختراق أكثر من 1,000 خادم ZCS وتخريبها.

التحليل الفني

أثناء فحص الكود المصدري لخادم MailboxImport بواسطة Volexity، تم الكشف عن ما يلي:

• ال دوبوست كانت الوظيفة، التي يتم استدعاؤها للتحقق من مصادقة المستخدم عند الوصول إلى عنوان URL، معيبة.
• تبين أن الخلل في الكود هو عدم وجود بيان الإرجاع، بعد التحقق من المصادقة وتعيين رسالة خطأ عند فشل المصادقة.
• أدى ذلك إلى تنفيذ الكود المتبقي حتى في حالة عدم مصادقة المستخدم، مما أدى إلى تحميل ملف zip الضار على الخادم.

[معرف التسمية التوضيحية = «المرفق _21515" align= «alignnone» width="701"] منطق معيب في وظيفة doPost في MailboxImport (المصدر: Volexity) [/caption]

معلومات من OSINT

• يُظهر استعلام Shodan لمثيلات ZCS ما مجموعه 72,404 مثيلات نشطة في جميع أنحاء العالم.

[معرف التسمية التوضيحية = «المرفق _21516" align= «alignnone» width="1096"] عرض نتيجة لمثيلات Zimbra [/caption]

التأثير والتخفيف

التأثيرالتخفيف

• يتيح الاستغلال الناجح للمهاجم الوصول إلى كل بريد إلكتروني يتم إرساله واستلامه على خادم بريد إلكتروني مخترق.
• يمكن استغلال الوصول الأولي من أجل:
  • سرقة بيانات اعتماد المستخدم
  • تصعيد الامتيازات
  • تثبيت الأبواب الخلفية
  • نشر برامج الفدية
  • تحميل ملفات ضارة

• قم بتحديث ZCS إلى الإصدارات المصححة التالية:
  • 9.0.0P26
  • 8.8.15 ص 33

المراجع

• ^#بروتوكول إشارات المرور - ويكيبيديا
• CISA - الجهات الفاعلة في مجال التهديد التي تستغل العديد من CVEs ضد مجموعة Zimbra التعاونية
• المرونة - الاستغلال الجماعي لـ (غير) زيمبرا المصدق عليها RCE: CVE-2022-27925

الملحق

[معرف التسمية التوضيحية = «المرفق _21517" align= «alignnone» width="1536"] التوزيع الجغرافي لخوادم Zimbra المخترقة (المصدر: Volexity) [/caption]