CVE-2026-73576
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W Zimbra Collaboration (ZCS) przed wersją 10.1.17 występuje podatność polegająca na słabym generowaniu klucza kryptograficznego w integracji z OnlyOffice. Sekret JWT (zimbraDocumentEditingJwtSecret) jest generowany przy użyciu niebezpiecznego generatora liczb losowych, co skutkuje niewystarczającą entropią. Atakujący, który uzyska JWT podpisany tym sekretem, może go odzyskać metodą brute-force offline, co może umożliwić fałszowanie tokenów JWT.
Ocena ryzyka
Ryzyko polega na możliwości fałszowania tokenów JWT, co może prowadzić do nieautoryzowanego dostępu do funkcji edycji dokumentów i potencjalnie do naruszenia integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Zimbra Collaboration do wersji 10.1.17 lub nowszej, która zawiera poprawkę dla tej podatności.
Oryginalny opis (angielski, źródło NVD)
In Zimbra Collaboration (ZCS) before 10.1.17, weak cryptographic key generation vulnerability exists in the OnlyOffice integration. The zimbraDocumentEditingJwtSecret is generated using an insecure random number generator, resulting in insufficient entropy. An attacker who obtains a JWT signed with the generated secret may be able to recover the JWT signing secret through offline brute-force, potentially enabling JWT forgery.