Zimbra认证绕过漏洞成功入侵超过1000台服务器
2022-8-15 10:33:19
Author: 寰宇卫士(查看原文)
阅读量:22
收藏
![]()
Zimbra是一套邮箱和协同办公平台，包括WebMail，日历，通信录，Web文档管理等功能，有140个国家的超过20万企业使用，其中包括超过1000个政府和金融机构。
Volexity研究人员发现了一个Zimbra认证绕过漏洞（CVE-2022-27925）被用于攻击Zimbra Collaboration Suite (ZCS)邮箱服务器。在调查一起Zimbra邮件服务器入侵事件过程中，Volexity发现ZCS远程利用是根本原因。检查入侵服务器的web日志发现，漏洞利用预之前写入webshell到硬盘的漏洞是一致的。示例web日志记录如下所示：检查MailboxImport servlet源码发现，url访问时会调用“doPost”函数，会检查用户是否经过认证，如下图所示：![]()
代码的问题是对认证进行了检查，也设置了错误信息，但是并没有return描述。也就是说之后的代码会继续执行，与用户的认证状态无关。利用该函数，攻击者只需要在URL中设置正确的参数就可以利用该漏洞。Volexity 发现攻击者滥用该漏洞的过程中结合了另一个认证绕过漏洞（CVE-2022-37042）。研究人员认为该漏洞与2021年初发现的微软Exchange 0-day漏洞利用基本一致。最初的时候只是被情报监控相关的攻击者利用，但之后被大规模利用。攻击者成功利用该漏洞可以在被入侵的服务器的特定位置部署web shell以实现驻留。![]()
CISA在11日已经确认了这两个安全漏洞的在野利用。通过扫描发现，目前有超过1000台服务器存在后门或已经被入侵。涉及政府机关、军事结构、收入数十亿的跨国公司。由于扫描shell路径的限制，预计被入侵的服务器数量更多。Volexity称，如果有漏洞的服务器在5月底前没有修复CVE-2022-27925漏洞，那就可以认为ZCS实例已经被入侵了，包括邮件内容在内的所有内容都可能被窃了。研究人员建议对可能的入侵事件进行分析，并使用最新的补丁重构ZCS实例。原文来自「安全圈」｜侵删
中电运行是专业专注培养能源企业IT工匠和提供IT整体解决方案的服务商，也是能源互联网安全专家。我们每天都会分享各种IT相关内容，如果您有任何关于IT疑问，欢迎给我们留言![]()
。
文章来源: http://mp.weixin.qq.com/s?__biz=MzIwMzU0NDY5OA==&mid=2247493658&idx=1&sn=377bf9410aa5fa6c4c748e3a78d9a822&chksm=96cf690fa1b8e019be2b34763ba34211a4e250998e89c6edad9c0daf8a533519aa2ce5deb923#rd
如有侵权请联系:admin#unsafe.sh