Aktywnie wykorzystywana w atakach
Synacor Zimbra Collaboration Suite (ZCS) Server-Side Request Forgery (SSRF) Vulnerability
Synacor - Zimbra Collaboration Suite (ZCS) · Figuruje w katalogu CISA KEV od 2025-07-07. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2019-9621
WysokieCVSS 7.5KEVStreszczenie
Podatność SSRF (Server-Side Request Forgery) w komponencie ProxyServlet w Zimbra Collaboration Suite. Umożliwia atakującemu wysyłanie żądań z serwera do wewnętrznych zasobów.
Ocena ryzyka
Atakujący może wykorzystać serwer jako proxy do atakowania wewnętrznych systemów, co może prowadzić do ujawnienia danych lub dalszych ataków.
Rekomendacja
Zaktualizuj Zimbra Collaboration Suite do wersji zawierającej poprawkę (8.6 patch 13, 8.7.11 patch 10, 8.8.10 patch 7 lub 8.8.11 patch 3).
Inne podatności w Zimbra Collaboration Suite
Zobacz wszystkie- CVE-2022-37042KrytyczneAktywnie exploitowane
Zimbra Collaboration Suite (ZCS) 8.8.15 i 9.0 ma funkcję mboximport, która przyjmuje archiwum ZIP i wyodrębnia z niego pliki. Omijając uwierzytelnianie (brak authtoken), atakujący może przesłać dowolne pliki do systemu, co prowadzi do przejścia do katalogów i zdalnego wykonania kodu. Uwaga: problem istnieje z powodu niepełnej poprawki dla CVE-2022-27925.
- CVE-2022-27925WysokieAktywnie exploitowane
Zimbra Collaboration (ZCS) 8.8.15 i 9.0 ma funkcję mboximport, która przyjmuje archiwum ZIP i wyodrębnia z niego pliki. Uwierzytelniony użytkownik z uprawnieniami administratora ma możliwość przesyłania dowolnych plików do systemu, co prowadzi do przejścia do katalogów.
- CVE-2022-24682ŚrednieAktywnie exploitowane
Podatność w funkcji Kalendarz w Zimbra Collaboration Suite 8.8.x przed 8.8.15 patch 30 pozwala atakującemu na wstrzyknięcie HTML z wykonywalnym JavaScriptem do atrybutów elementów. Znaczniki nie są poprawnie escapowane, co umożliwia wstrzyknięcie dowolnego kodu do dokumentu.
- CVE-2018-6882ŚrednieAktywnie exploitowane
Podatność cross-site scripting (XSS) w funkcji ZmMailMsgView.getAttachmentLinkHtml w Zimbra Collaboration Suite (ZCS) przed 8.7 Patch 1 i 8.8.x przed 8.8.7. Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML przez nagłówek Content-Location w załączniku e-mail.
Oryginalny opis (angielski, źródło NVD)
Zimbra Collaboration Suite before 8.6 patch 13, 8.7.x before 8.7.11 patch 10, and 8.8.x before 8.8.10 patch 7 or 8.8.x before 8.8.11 patch 3 allows SSRF via the ProxyServlet component.