PT-2022-4547 · Zimbra · Zimbra Collaboration Suite

Steven Adair + 1 · Publicado 2022-02-09 · Atualizado 2025-11-04 · CVE-2022-24682

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Zimbra Collaboration Suite, versões 8.8.x a 8.8.15, patch 29

Descrição

Foi descoberta uma vulnerabilidade no recurso Calendário, permitindo que um invasor insira HTML contendo JavaScript executável dentro de atributos de elementos. Essa marcação não é escapada, fazendo com que marcações arbitrárias sejam injetadas no documento. A vulnerabilidade vem sendo explorada em ambiente real desde dezembro de 2021.

Recomendações

Para as versões 8.8.x a 8.8.15 patch 29 do Zimbra Collaboration Suite, atualize para a versão 8.8.15 patch 30 (atualização 1) para resolver a falha. Como solução alternativa temporária, considere restringir o acesso ao recurso Calendário até que um patch esteja disponível. Evite usar o recurso Calendário com entradas não confiáveis até que a falha seja resolvida.

Exploit

Correção

Improper Encoding or Escaping of Output

XSS

Enumeração de Fraquezas

CWE-116

CWE-79

Identificadores relacionados

BDU:2022-05422

CVE-2022-24682

Produtos afetados

Zimbra Collaboration Suite

Referências · 24

• 🔥 https://volexity.com/blog/2022/02/03/operation-emailthief-active-exploitation-of-zero-day-xss-vulnerability-in-zimbra · Exploit
• https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2022-05422 · Nota de Segurança
• https://wiki.zimbra.com/wiki/Zimbra_Releases/8.8.15/P30 · Aviso do Fabricante
• https://cisa.gov/known-exploited-vulnerabilities-catalog · Nota
• https://blog.zimbra.com/2022/02/hotfix-available-5-feb-for-zero-day-exploit-vulnerability-in-zimbra-8-8-15 · Aviso do Fabricante
• https://wiki.zimbra.com/wiki/Security_Center · Aviso do Fabricante
• https://t.me/cvenotify/26495 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-24682 · Aviso do Fabricante
• https://t.me/cvenotify/109098 · Publicação no Telegram
• https://t.me/cibsecurity/37046 · Publicação no Telegram
• https://cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-24682 · Nota
• https://t.me/cvenotify/112368 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-24682 · Nota de Segurança
• https://t.me/cveNotify/141627 · Publicação no Telegram