最近の脆弱性 › CVE-2022-27925

Synacor Zimbra Collaboration Suite (ZCS) のパストラバーサルの脆弱性（CVE-2022-27925）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2022-27925
製品	Synacor Zimbra Collaboration Suite (ZCS)
深刻度（CVSS）	7.2 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2022-08-11
米国政府機関の対応期限	2022-09-01
ランサムウェアでの悪用	悪用が確認されている
弱点の種類（CWE）	CWE-22

何が起きた

Synacor の Zimbra Collaboration Suite (ZCS) の mboximport（ZIP ファイルを受け取って展開し、メールボックスを取り込む機能）に弱点が見つかりました。管理者権限を持つ利用者が任意のファイル（攻撃者が好きに選べるファイル）をサーバーに送り込み、ディレクトリトラバーサルを起こせます。NVD の評価では、ネットワーク経由で悪用できますが、管理者などの高い権限が必要です。ただし、この弱点はログインを回避できる CVE-2022-37042 と組み合わせて悪用されており、実際の攻撃とランサムウェアでの悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Zimbra Collaboration Suite (ZCS) 8.8.15 と 9.0 を使っている組織が対象です。メーカーの一覧では、9.0.0 Patch 24 と 8.8.15 Patch 31 で修正されています。

何をすればいい

メーカーの案内に従い、9.0.0 Patch 24 以降、または 8.8.15 Patch 31 以降に更新されているか確認してください。ただし、この修正は不十分で CVE-2022-37042 が後から見つかったため、9.0.0 Patch 26 以降、または 8.8.15 Patch 33 以降まで更新してください。詳しくは公式の案内を確認してください。

やることチェックリスト

9.0.0 Patch 26 以降に更新する
8.8.15 Patch 33 以降に更新する
CVE-2022-37042 の修正も適用する

用語メモ

ディレクトリトラバーサル: ファイルの置き場所の指定を細工して、本来は書き込めない場所にファイルを置いたり読んだりする攻撃のことです。
管理者権限: システムの設定を変えたり、重要な操作をしたりできる強い権限のことです。
ランサムウェア: データを暗号化して使えなくし、元に戻す代わりに金銭を要求する不正なプログラムのことです。

元データ（英語・CISA KEV より）

Synacor Zimbra Collaboration Suite (ZCS) Arbitrary File Upload Vulnerability

概要

Synacor Zimbra Collaboration Suite (ZCS) contains flaw in the mboximport functionality, allowing an authenticated attacker to upload arbitrary files to perform remote code execution. This vulnerability was chained with CVE-2022-37042 which allows for unauthenticated remote code execution.

推奨対応

Apply updates per vendor instructions.