Zimbra 远程代码执行误差清静通告

宣布时间 2019-03-18

误差编号和级别


CVE编号：暂无，，，，危险级别：高危，，，， CVSS分值：官方未评定


影响规模


受影响版本：

ZimbraCollaboration Server 8.8.11 之前的版本都受到影响。。。。。。。详细来说：

1. Zimbra < 8.7.11 版本中，，，，攻击者可以在无需登录的情形下，，，，实现远程代码执行

2. Zimbra < 8.8.11 版本中，，，，在效劳端使用 Memcached 做缓存的情形下，，，，经由登录认证后的攻击者可以实现远程代码执行


误差概述


Zimbra 是一家提供专业的电子邮件软件开发供应商，，，，主要提供 Zimbra Collaboration Server 协作效劳器套件、Zimbra Desktop 邮件治理软件等邮件方面的软件。。。。。。。


3 月 13 日，，，， 外洋清静研究员 tint0 宣布了一篇博客，，，，指出 Zimbra Collaboration Server 系统全版本保存一系列误差，，，，通过恶意使用可以导致远程代码执行误差。。。。。。。


误差细节


当 Zimbra 保存像恣意文件读取、XXE（XML 外部实体注入） 这种误差时，，，，攻击者可以使用此误差读取 localconfig.xml 设置文件，，，，获取到 zimbra admin ldap password，，，，并通过 7071 admin 端口举行 SOAP AuthRequest 认证，，，，获得 admin authtoken，，，，然后就可以使用 admin authtoken 举行恣意文件上传，，，，从而抵达远程代码执行的危害。。。。。。。


而 tint0 博客文章里指出，，，，纵然在 7071 admin 端口做了防火墙设置、差池外开放的情形下，，，，也可以使用保存于 443 通俗用户端口效劳里身份认证的一个特征，，，，配合 ProxyServlet.doProxy() 要领里的 SSRF，，，，同样也能完成 admin SOAP AuthRequest 认证，，，，获得 admin authtoken。。。。。。。


下图为配合使用 XXE 和 ProxyServlet SSRF 误差拿到 admin authtoken 后，，，，通过文件上传在效劳端执行恣意代码的外地测试截图：


凯发·k8(中国游)官方网站



除此之外，，，，在 Zimbra效劳端使用 Memcached 做缓存效劳时，，，，还可以使用 SSRF 攻击 Memcached 缓存效劳，，，，通过反序列化实现远程代码执行。。。。。。。不过由于 Zimbra 的装置历程中的 bug，，，，导致单效劳器的情形下，，，，Memcached 只管会启动，，，，但并不会使用，，，，因此 SSRF 攻击 Memcached 反序列化的使用场景较量有限。。。。。。。


修复建议


更新官方宣布的清静补丁或升级 Zimbra 到最新版：https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories。。。。。。。


参考链接


https://blog.tint0.com/2019/03/a-saga-of-code-executions-on-zimbra.html

https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories