Synacor Zimbra Collaboration Suite (ZCS) のXXEの脆弱性（CVE-2019-9670）

何が起きた

Synacor Zimbra Collaboration Suite の mailboxd という部品に、XML の外部参照（XXE）を正しく制限していない弱点が見つかりました。NVD の説明では、Autodiscover/Autodiscover.xml を使った例が示されています。NVD の評価では、ネットワーク経由で、ログインも被害者の操作もなしに悪用できるとされています。この弱点は、実際の攻撃に使われたことが CISA によって確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Synacor Zimbra Collaboration Suite を使っている組織が対象です。NVD の説明と Zimbra のセキュリティ勧告の一覧によると、影響を受けるのは 8.7.x 系で、8.7.11 Patch10 より前のバージョンです。

何をすればいい

Zimbra のセキュリティ勧告の一覧では、この弱点は 8.7.11 Patch10 で直されたとされています。8.7.x 系を使っている場合は、8.7.11 Patch10 以降が当たっているか確認してください。Zimbra の公式の案内（Zimbra Security Advisories）を確認してください。

やることチェックリスト

• 8.7.x 系は 8.7.11 Patch10 以降を当てる
• mailboxd を含む Zimbra の版数を調べる
• Zimbra の勧告一覧で修正の状況を確かめる

用語メモ

XXE

XML External Entity の略です。XML の中から外のファイルなどを読み込ませる仕組みを悪用し、サーバーの中身を盗み見るなどの攻撃です。

XML

データをタグで区切って書く、決まった書き方のテキストです。ソフト同士のやり取りによく使われます。