最近の脆弱性 › CVE-2022-37042
Synacor Zimbra Collaboration Suite (ZCS) の認証回避の脆弱性（CVE-2022-37042）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2022-37042 |
|---|---|
| 製品 | Synacor Zimbra Collaboration Suite (ZCS) |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2022-08-11 |
| 米国政府機関の対応期限 | 2022-09-01 |
| ランサムウェアでの悪用 | 悪用が確認されている |
| 弱点の種類（CWE） | CWE-23 |
何が起きた
Synacor の Zimbra Collaboration Suite (ZCS) の MailboxImportServlet（メールボックスを取り込む機能）に、認証（ログインの確認）を回避できる弱点が見つかりました。攻撃者はログインしないまま任意のファイル（攻撃者が好きに選べるファイル）をサーバーに送り込み、ディレクトリトラバーサルを起こして、遠隔からプログラムを実行できるおそれがあります。この弱点は CVE-2022-27925 の修正が不十分だったことが原因で、CVE-2022-27925 と組み合わせて悪用されました。NVD の評価では、ネットワーク経由で、権限のない攻撃者でも悪用できます。実際の攻撃での悪用が確認されており、ランサムウェアでの悪用も確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Zimbra Collaboration Suite (ZCS) 8.8.15 と 9.0 を使っている組織が対象です。メーカーの一覧では、9.0.0 Patch 26 と 8.8.15 Patch 33 で修正されています。
何をすればいい
メーカーの案内に従い、9.0.0 Patch 26 以降、または 8.8.15 Patch 33 以降に更新されているか確認してください。あわせて関連する CVE-2022-27925 の修正（9.0.0 Patch 24、8.8.15 Patch 31）も含まれているか確かめてください。詳しくは公式の案内を確認してください。
やることチェックリスト
- 9.0.0 Patch 26 以降に更新する
- 8.8.15 Patch 33 以降に更新する
- CVE-2022-27925 の修正も適用する
用語メモ
- 認証
- 利用者が本人かどうかを、パスワードなどで確かめる仕組みのことです。
- ディレクトリトラバーサル
- ファイルの置き場所の指定を細工して、本来は書き込めない場所にファイルを置いたり読んだりする攻撃のことです。
- ランサムウェア
- データを暗号化して使えなくし、元に戻す代わりに金銭を要求する不正なプログラムのことです。
元データ（英語・CISA KEV より）
Synacor Zimbra Collaboration Suite (ZCS) Authentication Bypass Vulnerability
概要
Synacor Zimbra Collaboration Suite (ZCS) contains an authentication bypass vulnerability in MailboxImportServlet. This vulnerability was chained with CVE-2022-27925 which allows for unauthenticated remote code execution.
推奨対応
Apply updates per vendor instructions.