Zimbra 远程代码执行误差清静通告
宣布时间 2019-03-18误差编号和级别
CVE编号：暂无，危险级别：高危， CVSS分值：官方未评定
影响规模
受影响版本：
ZimbraCollaboration Server 8.8.11 之前的版本都受到影响。详细来说：
1. Zimbra < 8.7.11 版本中，攻击者可以在无需登录的情形下，实现远程代码执行
2. Zimbra < 8.8.11 版本中，在服务端使用 Memcached 做缓存的情形下，经由登录认证后的攻击者可以实现远程代码执行
误差概述
Zimbra 是一家提供专业的电子邮件软件开发供应商，主要提供 Zimbra Collaboration Server 协作服务器套件、Zimbra Desktop 邮件管理软件等邮件方面的软件。
3 月 13 日， 外洋清静研究员 tint0 宣布了一篇博客，指出 Zimbra Collaboration Server 系统全版本保存一系列误差，通过恶意使用可以导致远程代码执行误差。
误差细节
当 Zimbra 保存像恣意文件读取、XXE（XML 外部实体注入） 这种误差时，攻击者可以使用此误差读取 localconfig.xml 设置文件，获取到 zimbra admin ldap password，并通过 7071 admin 端口举行 SOAP AuthRequest 认证，获得 admin authtoken，然后就可以使用 admin authtoken 举行恣意文件上传，从而抵达远程代码执行的危害。
而 tint0 博客文章里指出，纵然在 7071 admin 端口做了防火墙设置、差池外开放的情形下，也可以使用保存于 443 通俗用户端口服务里身份认证的一个特征，配合 ProxyServlet.doProxy() 要领里的 SSRF，同样也能完成 admin SOAP AuthRequest 认证，获得 admin authtoken。
下图为配合使用 XXE 和 ProxyServlet SSRF 误差拿到 admin authtoken 后，通过文件上传在服务端执行恣意代码的外地测试截图：
除此之外，在 Zimbra服务端使用 Memcached 做缓存服务时，还可以使用 SSRF 攻击 Memcached 缓存服务，通过反序列化实现远程代码执行。不过由于 Zimbra 的装置历程中的 bug，导致单服务器的情形下，Memcached 只管会启动，但并不会使用，因此 SSRF 攻击 Memcached 反序列化的使用场景较量有限。
修复建议
更新官方宣布的清静补丁或升级 Zimbra 到最新版：https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories。
参考链接
https://blog.tint0.com/2019/03/a-saga-of-code-executions-on-zimbra.html
https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories
京公网安备11010802024551号