Accueil > Alertes CERT-MC > AVIS CERTFR - 2022 - ALE - 009

AVIS CERTFR - 2022 - ALE - 009

Objet : Vulnérabilité dans Zimbra Collaboration

Référence : CERTFR-2022-ALE-009

Risque(s)

- Exécution de code arbitraire à distance

Systèmes affectés

- Zimbra Collaboration Suite (ZCS) toutes versions utilisant cpio

Résumé

Le 15 septembre 2022, l'éditeur Zimbra a publié un avis de sécurité mentionnant une vulnérabilité dans l'implémentation de cpio par son moteur d'antivirus (Amavis). L'outil d'extraction d'archive cpio est utilisé par Zimbra dès lors que l'utilitaire pax n'est pas installé. Cette vulnérabilité permet à un attaquant non authentifié de téléverser ou écraser un fichier sur le serveur. Par ce biais, l'attaquant à la possibilité de déposer une porte dérobée afin de pouvoir exécuter du code arbitraire à distance sur la machine. En effet, si un attaquant envoie un courriel contenant une archive piégée avec le format .cpio, .rpm ou .tar à une instance de Zimbra ne disposant pas de l'utilitaire pax, alors, lors du processus d'extraction par Amavis la vulnérabilité sera déclenchée.

Le 25 septembre, le NIST NVD attribue à cette vulnérabilité l'immatriculation CVE-2022-41352. Cette vulnérabilité est simple à exploiter et pourrait être combinée avec une autre vulnérabilité de type élévation de privilèges, telle que la CVE-2022-37393, pour prendre le contrôle total de la machine.

Le CERT-FR a connaissance de cas d'exploitation de cette vulnérabilité et de codes d'exploitation publiquement disponibles.

Contournement provisoire

L'éditeur n'a pas publié de correctif pour cette vulnérabilité. Cependant, il est assez aisé de s'en prémunir en installant l'utilitaire pax, disponible via le paquet du même nom, puis en redémarrant l'application Zimbra (les commandes sont détaillées par l'éditeur [1]).

Détection

Le CERT-FR recommande de réaliser une analyse approfondie des journaux réseau des serveurs Zimbra. Il est possible d'obtenir la liste des archives au format .tar, .rpm ou .cpio qui ont été téléversées via la commande suivante : cat /opt/zimbra/log/mailbox.log | grep -i -e ".*FileUploadServlet.*name=.*\(.cpio\|.tar\|.rpm\),". Ces archives devront ensuite être analysées pour tenter d'identifier des tentatives d'exploitation de la vulnérabilité. Cependant, un attaquant peut dissimuler ses traces dans le cas où il a réalisé une élévation de privilège par le biais d'une autre vulnérabilité.

En cas de suspicion de compromission, il est recommandé de consulter les [bons réflexes en cas d'intrusion sur votre système d'information](https://www.cert.ssi.gouv.fr/les-bons-reflexes-en-cas-dintrusion-sur-un-systeme-dinformation/).  

Documentation

- [1] Bulletin de sécurité Zimbra du 14 septembre 2022 https://blog.zimbra.com/2022/09/security-update-make-sure-to-install-pax-spax/  
- Référence CVE CVE-2022-41352
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-41352  
- Bons réflexes en cas d'intrusion sur votre système d'information https://www.cert.ssi.gouv.fr/les-bons-reflexes-en-cas-dintrusion-sur-un-systeme-dinformation/  

Dernière version de ce document

https://www.cert.ssi.gouv.fr/alerte/CERTFR-2022-ALE-009/  

 

AVIS CERTFR - 2022 - AVI - 1058

28 novembre 2022
actualite

Objet : [SCADA] Vulnérabilité dans les produits MoxaRéférence : CERTFR-2022-AVI-1058Risque(s)- Déni de service à distanceSystèmes affectés - Moxa E... Lire la suite[+]

AVIS CERTFR - 2022 - AVI - 1057

25 novembre 2022
actualite

Objet : Multiples vulnérabilités dans les produits NextcloudRéférence : CERTFR-2022-AVI-1057Risque(s) - Atteinte à l'intégrité des données - Attein... Lire la suite[+]

Contact

Agence Monégasque de Sécurité Numérique
24 rue du Gabian 
98000 MONACO

AMSN_contact@gouv.mc

Téléphone : (+377) 98 98 24 93
Bouton Alertes CSIRT-MC


       INFORMATIONS            PRATIQUES
Demande d'autorisation loi n°1.383
Conseils élémentaires
//amsn.gouv.mc/Alertes-CERT-MC/AVIS-CERTFR-2022-ALE-009