Synacor Zimbra Collaboration Suite (ZCS) のパストラバーサルの脆弱性（CVE-2022-41352）

何が起きた

Synacor の Zimbra Collaboration Suite (ZCS) で、メールの添付ファイルを調べる amavis が cpio という展開用の道具を使うときの抜け穴により、攻撃者が任意のファイル（攻撃者が好きに選べるファイル）をサーバーの公開用フォルダに置けてしまう弱点が見つかりました。その結果、ほかの利用者のアカウントに不正にアクセスされるおそれがあります。ネットワーク経由で、ログインなどの権限がなくても悪用できます。CISA の KEV に掲載されて実際の悪用が確認されており、ランサムウェアでの悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Zimbra Collaboration (ZCS) 8.8.15 と 9.0 を使っている組織が対象です。NVD の説明によると、pax という道具が入っていない環境では amavis が cpio を使います。Ubuntu では pax は前提として入りますが、Red Hat 系では RHEL 6（CentOS 6）より後は標準では入っていません。

何をすればいい

Zimbra は、ZCS 9.0.0 Patch 27 と ZCS 8.8.15 Patch 34 でこの問題を修正しています。使っている ZCS がこれらのパッチ以降に更新されているか確認してください。Zimbra は cpio ではなく pax を使うことを勧めています。NVD の説明によると、pax を入れると amavis は自動的に pax を優先して使います。あわせて Zimbra の公式の案内（セキュリティ情報）を確認してください。

やることチェックリスト

• ZCS 9.0.0 Patch 27 以降に更新する
• ZCS 8.8.15 Patch 34 以降に更新する
• サーバーに pax を入れる

用語メモ

amavis

メールサーバーで、届いたメールや添付ファイルを調べるためのソフトです。

cpio

まとめられたファイルを取り出す（展開する）ための古くからある道具です。

pax

cpio と同じように、まとめられたファイルを展開できる道具です。Zimbra は cpio の代わりに使うことを勧めています。