قراصنة يستغلون عيوب RCE غير المصححة في مجموعة Zimbra Collaboration Suite

[HalhulTech]

يتم استغلال ثغرة خطيرة في تنفيذ التعليمات البرمجية عن بُعد في برنامج التعاون المؤسسي ومنصة البريد الإلكتروني في Zimbra بشكل نشط ، مع عدم توفر التصحيح حاليًا لمعالجة المشكلة.

العيب ، المعين CVE-2022-41352 ، يحمل تصنيف خطورة حرج لـ CVSS 9.8 ، مما يوفر مسارًا للمهاجمين لتحميل ملفات عشوائية وتنفيذ إجراءات ضارة على المنشآت المتأثرة.

وقالت شركة Rapid7 للأمن السيبراني في تحليل نُشر هذا الأسبوع : "الثغرة الأمنية ترجع إلى الطريقة ( cpio ) التي يفحص فيها محرك مكافحة الفيروسات في زيمبرا ( أمافيس ) رسائل البريد الإلكتروني الواردة".

ويقال إن هذه القضية قد تم إساءة استخدامها منذ أوائل سبتمبر 2022 ، وفقًا للتفاصيل التي تمت مشاركتها في منتديات Zimbra. بينما لم يتم إصدار الإصلاح بعد ، تحث شركة خدمات البرامج المستخدمين على تثبيت الأداة المساعدة "pax" وإعادة تشغيل خدمات Zimbra.

"إذا لم يتم تثبيت حزمة pax ، فسيعود Amavis إلى استخدام cpio ، للأسف يتم تنفيذ هذا التراجع بشكل سيئ (بواسطة Amavis) وسيسمح لمهاجم غير مصادق بإنشاء ملفات على خادم Zimbra والكتابة فوقها ، بما في ذلك Zimbra webroot قالت الشركة الشهر الماضي.

تؤثر الثغرة الأمنية ، الموجودة في الإصدارين 8.8.15 و 9.0 من البرنامج ، على العديد من توزيعات Linux مثل Oracle Linux 8 و Red Hat Enterprise Linux 8 و Rocky Linux 8 و CentOS 8 ، باستثناء Ubuntu نظرًا للحقيقة هذا pax مثبت بالفعل بشكل افتراضي.

يتطلب الاستغلال الناجح للخطأ من المهاجم إرسال ملف أرشيف (CPIO أو TAR) بالبريد الإلكتروني إلى خادم حساس ، والذي يتم بعد ذلك فحصه بواسطة Amavis باستخدام الأداة المساعدة لأرشيف ملف cpio لاستخراج محتوياته.

قال الباحث في Rapid7 Ron Bowes: "نظرًا لعدم وجود وضع cpio حيث يمكن استخدامه بأمان على الملفات غير الموثوق بها ، يمكن للمهاجم الكتابة إلى أي مسار على نظام الملفات يمكن لمستخدم Zimbra الوصول إليه". "النتيجة الأكثر ترجيحًا هي أن يقوم المهاجم بزرع قذيفة في جذر الويب للحصول على تنفيذ التعليمات البرمجية عن بُعد ، على الرغم من وجود طرق أخرى على الأرجح."

https://go.thn.li/crowd-mid-d
قالت زيمبرا إنها تتوقع معالجة الثغرة الأمنية في تصحيح البرنامج التالي ، والذي سيزيل الاعتماد على cpio وبدلاً من ذلك يجعل pax مطلبًا. ومع ذلك ، لم يقدم إطارًا زمنيًا محددًا بحلول موعد توفر الإصلاح.

كما أشار Rapid7 إلى أن CVE-2022-41352 "متطابق بشكل فعال" مع CVE-2022-30333 ، وهو عيب اجتياز المسار في إصدار Unix من الأداة المساعدة unRAR من RARlab والذي ظهر في وقت سابق من شهر يونيو ، والفرق الوحيد هو أن الخلل الجديد يعزز تنسيقات أرشيف CPIO و TAR بدلاً من RAR.

والأمر الأكثر إثارة للقلق هو أن Zimbra أكثر عرضة لخلل آخر في تصعيد امتيازات يوم الصفر ، والذي يمكن ربطه بـ cpio zero-day لتحقيق تسوية الجذر عن بُعد للخوادم.

حقيقة أن Zimbra كانت هدفًا شائعًا لممثلي التهديد ليست جديدة بأي حال من الأحوال. في أغسطس ، حذرت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) من خصوم يستغلون عيوبًا متعددة في البرامج لاختراق الشبكات.


المصدر: thehackernews​