PT-2024-6227 · Zimbra · Zimbra Collaboration
Lebr0Nli
·
Publicado
2024-09-04
·
Atualizado
2024-10-30
·
CVE-2024-45518
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Zimbra Collaboration (ZCS) versões 10.1.x a 10.1.0
Zimbra Collaboration (ZCS) versões 10.0.x a 10.0.8
Zimbra Collaboration (ZCS) 9.0.0 antes do Patch 41
Zimbra Collaboration (ZCS) 8.8.15 antes do Patch 46
Descrição
Uma falha no Zimbra Collaboration permite que usuários autenticados explorem a falsificação de solicitação do lado do servidor (SSRF) devido à sanitização inadequada de entradas e à lista de domínios permitidos mal configurada. Isso permite que solicitações HTTP não autorizadas sejam enviadas a serviços internos, levando potencialmente à execução remota de código (RCE) por meio do encadeamento de injeção de comando dentro do serviço interno. Quando combinada com vulnerabilidades XSS existentes, essa falha de SSRF pode facilitar ainda mais a execução remota de código (RCE).
Recomendações
Para as versões 10.1.x a 10.1.0 do Zimbra Collaboration (ZCS), atualize para a versão 10.1.1 ou posterior.
Para as versões 10.0.x a 10.0.8 do Zimbra Collaboration (ZCS), atualize para a versão 10.0.9 ou posterior.
Para o Zimbra Collaboration (ZCS) 9.0.0, aplique o Patch 41 ou posterior.
Para o Zimbra Collaboration (ZCS) 8.8.15, aplique o Patch 46 ou posterior.
Correção
RCE
SSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Zimbra Collaboration