Zimbra Memcache命令注入漏洞风险提示

2022-06-2110

一、背景介绍

6月20日,市委网信办技术支撑单位监测到Zimbra官方发布了安全公告,修复了Zimbra Collaboration的一处命令注入漏洞(CVE-2022-27924)。目前,官方已有可更新版本,建议用户尽快升级至最新版本。 

1.1漏洞描述

Zimbra Collaboration存在一处可导致Memcache命令注入的漏洞,该漏洞允许未经身份验证的攻击者在没有任何用户交互的情况下从Zimbra实例窃取目标Zimbra部署用户的明文登录凭据。随着对受害者邮箱的访问,攻击者可能会升级他们对目标组织的访问权限,并获得对各种内部服务的访问权限并窃取高度敏感的信息。通过邮件访问,攻击者可以重置密码、冒充受害者,并阅读目标公司内的所有私人对话。

1.2漏洞编号

CVE-2022-27924

1.3漏洞等级

高危


二、修复建议

2.1受影响版本: 

Zimbra Collaboration (aka ZCS) < 8.8.15 P31.1 

Zimbra Collaboration (aka ZCS) < 9.0.0 P24.1 

2.2修复建议

升级到 Zimbra Collaboration (aka ZCS)至修复后的版本。

下载地址:https://wiki.zimbra.com/wiki/Security_Center