Zimbra 远程代码执行误差清静通告

宣布时间 2019-03-18

误差编号和级别


CVE编号：暂无，，，危险级别：高危，，， CVSS分值：官方未评定


影响规模


受影响版本：

ZimbraCollaboration Server 8.8.11 之前的版本都受到影响。。。。。。 。详细来说：

1. Zimbra < 8.7.11 版本中，，，攻击者可以在无需登录的情形下，，，实现远程代码执行

2. Zimbra < 8.8.11 版本中，，，在效劳端使用 Memcached 做缓存的情形下，，，经由登录认证后的攻击者可以实现远程代码执行


误差概述


Zimbra 是一家提供专业的电子邮件软件开发供应商，，，主要提供 Zimbra Collaboration Server 协作效劳器套件、Zimbra Desktop 邮件治理软件等邮件方面的软件。。。。。。 。


3 月 13 日，，， 外洋清静研究员 tint0 宣布了一篇博客，，，指出 Zimbra Collaboration Server 系统全版本保存一系列误差，，，通过恶意使用可以导致远程代码执行误差。。。。。。 。


误差细节


当 Zimbra 保存像恣意文件读取、XXE（XML 外部实体注入） 这种误差时，，，攻击者可以使用此误差读取 localconfig.xml 设置文件，，，获取到 zimbra admin ldap password，，，并通过 7071 admin 端口举行 SOAP AuthRequest 认证，，，获得 admin authtoken，，，然后就可以使用 admin authtoken 举行恣意文件上传，，，从而抵达远程代码执行的危害。。。。。。 。


而 tint0 博客文章里指出，，，纵然在 7071 admin 端口做了防火墙设置、差池外开放的情形下，，，也可以使用保存于 443 通俗用户端口效劳里身份认证的一个特征，，，配合 ProxyServlet.doProxy() 要领里的 SSRF，，，同样也能完成 admin SOAP AuthRequest 认证，，，获得 admin authtoken。。。。。。 。


下图为配合使用 XXE 和 ProxyServlet SSRF 误差拿到 admin authtoken 后，，，通过文件上传在效劳端执行恣意代码的外地测试截图：


鉴黑担保网(jhdbw)·最具权威唯一维权担保平台



除此之外，，，在 Zimbra效劳端使用 Memcached 做缓存效劳时，，，还可以使用 SSRF 攻击 Memcached 缓存效劳，，，通过反序列化实现远程代码执行。。。。。。 。不过由于 Zimbra 的装置历程中的 bug，，，导致单效劳器的情形下，，，Memcached 只管会启动，，，但并不会使用，，，因此 SSRF 攻击 Memcached 反序列化的使用场景较量有限。。。。。。 。


修复建议


更新官方宣布的清静补丁或升级 Zimbra 到最新版：https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories。。。。。。 。


参考链接


https://blog.tint0.com/2019/03/a-saga-of-code-executions-on-zimbra.html

https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories