Zimbra Collaboration - Sicherheitslücke CVE-2022-27925

Am 11.08.2002 wurde eine Sicherheitslücke in Zimbra bekannt, die es einem Angreifer ermöglicht, die Authentifizierung zu umgehen. Weitere Einzelheiten entnehmen Sie bitte den entsprechenden Veröffentlichungen:

• https://blog.zimbra.com/2022/08/authentication-bypass-in-mailboximportservlet-vulnerability/
• Zimbra Security Center
• Zimbra 9.0.0 Patch-26 Release Notes
• Zimbra 8.8.15 Patch-33 Release Notes
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-27925
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-37042
• https://www.volexity.com/blog/2022/08/10/mass-exploitation-of-unauthenticated-zimbra-rce-cve-2022-27925/

Da die Sicherheitslücke bereits aktiv zur Kompromittierung von Systemen ausgenutzt wird, haben wir alle von uns im Auftrag unserer Kunden betreuten Installationen per 12.08.2022 proaktiv auf den aktuellen Stand gebracht.

Bitte beachten Sie, dass das Admin UI ausschließlich über https://FQDN:9071/zimbraAdmin/ erreichbar ist.

Falls Sie veraltete, nicht mehr mit Updates oder Patches versorgte Zimbra Installationen betreiben, so können Sie folgenden Workaround anwenden:

Editieren Sie die Konfigurationsdateien

/opt/zimbra/conf/nginx/templates/nginx.conf.web.https.default.template
/opt/zimbra/conf/nginx/templates/nginx.conf.web.https.template

und fügen Sie am Ende der Datei nach dem Statement

location ~* ^/zmerror_.*\.html$ {
        # for custom error pages, internal use only
        internal;
    }

die Anweisung

# block MailboxImportServlet requests for CVE-2022-37042 exploit
location = /service/extension/backup/mboximport {
        return 403;
    }

ein. Anschließend müssen Sie den Proxy neu starten:

zmproxyctl restart

Damit wird der externe Zugriff auf den verwundbaren Pfad "mboximport" unterbunden.

Quelle: https://forums.zimbra.org/viewtopic.php?f=15&t=71023