Zimbra 远程代码执行误差清静通告

宣布时间 2019-03-18

误差编号和级别


CVE编号：暂无，，，，，危险级别：高危，，，，， CVSS分值：官方未评定


影响规模


受影响版本：

ZimbraCollaboration Server 8.8.11 之前的版本都受到影响。。。 。。详细来说：

1. Zimbra < 8.7.11 版本中，，，，，攻击者可以在无需登录的情形下，，，，，实现远程代码执行

2. Zimbra < 8.8.11 版本中，，，，，在效劳端使用 Memcached 做缓存的情形下，，，，，经由登录认证后的攻击者可以实现远程代码执行


误差概述


Zimbra 是一家提供专业的电子邮件软件开发供应商，，，，，主要提供 Zimbra Collaboration Server 协作效劳器套件、Zimbra Desktop 邮件治理软件等邮件方面的软件。。。 。。


3 月 13 日，，，，， 外洋清静研究员 tint0 宣布了一篇博客，，，，，指出 Zimbra Collaboration Server 系统全版本保存一系列误差，，，，，通过恶意使用可以导致远程代码执行误差。。。 。。


误差细节


当 Zimbra 保存像恣意文件读取、XXE（XML 外部实体注入） 这种误差时，，，，，攻击者可以使用此误差读取 localconfig.xml 设置文件，，，，，获取到 zimbra admin ldap password，，，，，并通过 7071 admin 端口举行 SOAP AuthRequest 认证，，，，，获得 admin authtoken，，，，，然后就可以使用 admin authtoken 举行恣意文件上传，，，，，从而抵达远程代码执行的危害。。。 。。


而 tint0 博客文章里指出，，，，，纵然在 7071 admin 端口做了防火墙设置、差池外开放的情形下，，，，，也可以使用保存于 443 通俗用户端口效劳里身份认证的一个特征，，，，，配合 ProxyServlet.doProxy() 要领里的 SSRF，，，，，同样也能完成 admin SOAP AuthRequest 认证，，，，，获得 admin authtoken。。。 。。


下图为配合使用 XXE 和 ProxyServlet SSRF 误差拿到 admin authtoken 后，，，，，通过文件上传在效劳端执行恣意代码的外地测试截图：


918博天堂(中国游)最新官方网站



除此之外，，，，，在 Zimbra效劳端使用 Memcached 做缓存效劳时，，，，，还可以使用 SSRF 攻击 Memcached 缓存效劳，，，，，通过反序列化实现远程代码执行。。。 。。不过由于 Zimbra 的装置历程中的 bug，，，，，导致单效劳器的情形下，，，，，Memcached 只管会启动，，，，，但并不会使用，，，，，因此 SSRF 攻击 Memcached 反序列化的使用场景较量有限。。。 。。


修复建议


更新官方宣布的清静补丁或升级 Zimbra 到最新版：https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories。。。 。。


参考链接


https://blog.tint0.com/2019/03/a-saga-of-code-executions-on-zimbra.html

https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories