CVEノート

最近の脆弱性 › CVE-2022-27926

Synacor Zimbra Collaboration Suite (ZCS) のクロスサイトスクリプティングの脆弱性（CVE-2022-27926）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2022-27926
製品Synacor Zimbra Collaboration Suite (ZCS)
深刻度（CVSS）6.1 警告CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
KEVへの追加日2023-04-03
米国政府機関の対応期限2023-04-24
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-79, CWE-138

何が起きた

Synacor の Zimbra Collaboration Suite (ZCS) で、あるページ（/public/launchNewWindow.jsp）が受け取ったパラメーターを無害にする処理をせずに使ってしまう、クロスサイトスクリプティング（XSS）の弱点が見つかりました。ログインしていない攻撃者が、ネットワーク経由で悪用できますが、被害者が細工されたリンクを開くなどの操作が必要です。CISA の一覧に載っており、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工したリンクを用意する → 2. 被害者がそのリンクを開く → 3. パラメーターが無害化されずに使われる → 4. 被害者のブラウザーでスクリプトが動く1攻撃者が細工したリンクを用意する2被害者がそのリンクを開く3パラメーターが無害化されずに使われる4被害者のブラウザーでスクリプトが動く攻撃の流れ: 1. 攻撃者が細工したリンクを用意する → 2. 被害者がそのリンクを開く → 3. パラメーターが無害化されずに使われる → 4. 被害者のブラウザーでスクリプトが動く1攻撃者が細工したリンクを用意する2被害者がそのリンクを開く3パラメーターが無害化されずに使われる4被害者のブラウザーでスクリプトが動く

誰が影響を受ける

Zimbra Collaboration Suite (ZCS) を使っている組織と、そのメールを使っている人が対象です。NVD の説明では、Zimbra Collaboration (ZCS) 9.0 が影響を受けるとされています。Zimbra のセキュリティ情報のページでは、8.8.15 Patch 31 の修正の中にもこの弱点が挙がっています。

何をすればいい

Zimbra のリリースノートでは、この弱点は 9.0.0 P24 で修正されています。9.0.0 系は 9.0.0 P24 以降に、8.8.15 系は Zimbra のセキュリティ情報のページにある 8.8.15 Patch 31 以降に更新されているか確認してください。そのほかの点は、Zimbra の公式の案内を確認してください。

やることチェックリスト

用語メモ

クロスサイトスクリプティング（XSS）
ウェブページに悪いスクリプトを紛れ込ませて、見た人のブラウザーで動かしてしまう攻撃です。
パラメーター
ウェブページを開くときに、URL などに付けて送る追加の情報です。
スクリプト
ブラウザーの中で動く小さなプログラムです。

元データ（英語・CISA KEV より）

Synacor Zimbra Collaboration Suite (ZCS) Cross-Site Scripting (XSS) Vulnerability

概要

Synacor Zimbra Collaboration Suite (ZCS) contains a cross-site scripting vulnerability by allowing an endpoint URL to accept parameters without sanitizing.

推奨対応

Apply updates per vendor instructions.

公式情報