漏洞预警| Zimbra曝远程代码执行漏洞

时间:2019-03-18 15:24:26来源:信息安全服务部作者:梦之想科技

Zimbra最初由LiquidSys公司开发,该公司于2005年7月26日更名为Zimbra, Inc。旗下核心产品Zimbra Collaboration Suite(ZCS)于2005年首次发布,是一个协作软件套件,包括电子邮件服务器和Web客户端,在全球拥有很高的使用量。

梦之想科技于近日了解到,Zimbra官方在其发布的安全公告中公开披露了一个会影响到Zimbra Collaboration Server 8.8.11以下所有版本的远程代码执行漏洞,建议大家应及时更新至最新修复版本。


漏洞简介

CVE编号:暂无

严重程度:高危

影响版本:Zimbra Collaboration Server<8.8.11

漏洞危害

Zimbra远程代码执行,攻击者利用该漏洞可以在目标服务器上执行任意代码:

1、对于Zimbra<8.7.11版本,攻击者无需登录即可实现远程代码执行;

2、对于Zimbra<8.8.11版本,在服务端使用Memcached做缓存的情况下,经过登录认证的攻击者可以实现远程代码执行。

漏洞详情

该漏洞通过诸如任意文件读取、XXE(XML外部实体注入)等漏洞读取localconfig.xml配置文件,获取zimbra admin ldap password,并通过7071端口进行SOAP AuthRequest认证获得admin authtoken进而利用authtoken进行任意文件上传最终达到远程代码执行的危害,即使7071端口做了防火墙配置或不对外开放的情况,也可以利用443普通用户端口服务里身份认证的特性,配合ProxyServlet.doProxy()方法里的SSRF也能完成admin SOAP AuthRequest认证得到admin authtoken。

除此之外,在Zimbra使用Memcached做缓存服务时,还可以利用SSRF攻击Memcached缓存服务,通过反序列化实现远程代码执行。

修复建议

1、Zimbra官方已经针对XXE和任意反序列化发布了修复补丁,仅支持8.7.11和8.8.x;

2、Zimbra<8.7.11的用户应尽快升级至修复补丁支持的版本。