[TLP:CLEAR] Zimbra Collaboration opravuje 1 zraniteľnosť
Zimbra verziami 9.0.0 Patch 41, 10.0.9, 10.1.1 a 8.8.15 Patch 46 opravuje 1 zraniteľnosť v produkte Zimbra Collaboration [3].
Neautentizovanému vzdialenému útočníkovi je za určitých okolností umožnené spúšťať príkazy v operačnom systéme postihnutého stroja zaslaním špeciálne vytvoreného emailu [1] [2]. Pre zneužitie zraniteľnosti je potrebné, aby bola povolená služba "postjournal" (ktorá je v základnej konfigurácii zákázaná) a aby bol útočník autentizovaný alebo jeho IP adresa bola z rozsahu <Public IP>/20, kde "Public IP" je verejná IP adresa postihnutého stroja [1]. Podrobnosti a PoC k zraniteľnosti je možné nájsť na [1].
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2024-45519 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') at cwe.mitre.org
Zraniteľnosť bola verejne oznámená 27. 9. 2024.
Odkazy
Publikoval Martin Krajči dňa 3. 10. 2024.
