CVE-2019-9621

Podatność reflected XSS na stronie logowania Zimbra Collaboration Suite pozwala nieuwierzytelnionemu atakującemu wykonać JavaScript przez parametr zrememberme. Spreparowany URL relogin wybiera wyświetlanie błędu dwuskładnikowego, które wstawia parametr do atrybutu ukrytego pola bez kodowania HTML. Ofiara otwierająca URL otrzymuje skrypt i treść kontrolowaną przez atakującego w ramach legalnego originu Zimbra, co umożliwia przechwycenie danych logowania.

Podatność typu LDAP filter injection w Zimbra Collaboration Suite pozwala uwierzytelnionemu użytkownikowi na odpytywanie normalnie niezwracanych atrybutów zasobów kalendarza przez SearchCalendarResourcesRequest. Zimbra escapuje wartości wyszukiwania, ale wstawia podane nazwy atrybutów bezpośrednio do wyrażeń filtrów LDAP bez walidacji. Atakujący może wstrzyknąć dodatkowe warunki i użyć powtarzanych zapytań, aby odzyskać czytelne atrybuty zasobów, takie jak wewnętrzne nazwy hostów skrzynek i trasy transportu poczty.

Podatność cross-account authorization w Zimbra Collaboration Suite pozwala uwierzytelnionemu użytkownikowi na wstawienie sfałszowanych rekordów udostępnionych plików do skrzynki innego użytkownika przez FileSharedWithMeRequest. Żądanie omija autoryzację delegowanego konta i akceptuje metadane plików, identyfikatory właściciela i zadeklarowane rozmiary wybrane przez atakującego bez walidacji odpowiedniego udostępnienia dokumentu. Atakujący może umieścić wpisy przypisane do innego rzeczywistego konta lokalnego bez interakcji ofiary.

Podatność sanitizacji CSS w Zimbra Collaboration Suite pozwala uwierzytelnionemu użytkownikowi z dostępem do Briefcase na opublikowanie dokumentu wyświetlającego treść kontrolowaną przez atakującego w ramach originu Zimbra. Podczas przetwarzania arkusza stylów zawierającego znaki nie-ASCII DefangFilter dołącza końcowy segment ASCII bez jego sanityzacji. HTML przechowywany jako application/x-zimbra-doc może zatem zachować odwołania URL CSS, które normalny sanityzator usuwa. Atakujący może udostępnić spreparowany dokument, który ładuje zewnętrzne zasoby i wyświetla formularz zbierający dane logowania.

Podatność kanonikalizacji nazwy hosta w sanityzatorach HTML poczty Zimbra Collaboration Suite pozwala nieuwierzytelnionemu nadawcy obejść ograniczenie formularzy kierujących do hosta Zimbra. DefangFilter i OWASP ActionAttributePolicy porównują nazwę hosta form-action z nazwą hosta żądania przed kanonikalizacją URL przez przeglądarkę. Zatem nazwa hosta zakodowana procentowo może przetrwać sanityzację, podczas gdy przeglądarka wysyła formularz do normalnego originu Zimbra z ciasteczkiem uwierzytelniającym odbiorcy. Umożliwia to uwierzytelnione żądania formularzy z spreparowanej wiadomości e-mail po jej otwarciu w Classic i wysłaniu formularza.

Podatność uwierzytelniania organizatora w Zimbra Collaboration Suite pozwala nieuwierzytelnionemu nadawcy wiadomości e-mail na wstawienie zaproszeń kalendarzowych przypisanych do innego użytkownika. Ścieżka dostarczania poczty pozwala na zewnętrzne zaproszenia, ale nie weryfikuje, czy nadawca wiadomości jest upoważniony do użycia tożsamości ORGANIZER iCalendar. Gdy automatyczne wstawianie zaproszeń jest włączone, spreparowany komponent REQUEST tworzy wydarzenie zawierające szczegóły spotkania i przypomnienia wybrane przez atakującego pod sfałszowanym organizatorem bez interakcji odbiorcy.