Vulnerabilidades en Zimbra Collaboration Suite

TEAM CSIRT

Ha sido liberada una actualización de seguridad que corrige vulnerabilidades en la suite de Zimbra Collaboration. Estas vulnerabilidades con identificador CVE-2021-34807, CVE-2021-35209, CVE-2021-35208 y CVE-2021-35207 afectan en parte al servidor y cliente web e involucran varias versiones.

A continuación se detalla un resumen de las vulnerabilidades encontradas y las versiones afectadas:

  • CVE-2021-34807 – Existe una vulnerabilidad de redireccionamiento abierto en / preauth Servlet en Zimbra Collaboration Suite que afecta hasta la versión 9.0, excluyendo la versión 8.8.15 patch 23. Un atacante debería haber obtenido un token de autenticación de zimbra válido o un token de autorización previa válido para aprovechar la vulnerabilidad, y una vez que se obtiene el token, el atacante podría redirigir a un usuario a cualquier URL a través de isredirect = 1 & redirectURL = junto con los datos del token.
  • CVE-2021-35209 – Se descubrió un problema en ProxyServlet.java en el servlet / proxy en Zimbra Collaboration Suite en las versiones 8.8.x antes de la versión 8.8.15 Patch 23 y versión 9.x antes de versión 9.0.0 Patch 16. La vulnerabilidad consiste en que el valor del encabezado X-Host sobrescribe el valor del encabezado Host en solicitudes proxy.
  • CVE-2021-35208 – Se descubrió un problema en ZmMailMsgView.js en el componente Calendar Invite en Zimbra Collaboration Suite en las versiones 8.8.x antes de la versión 8.8.15 Patch 23. Un atacante podría colocar HTML que contenga JavaScript ejecutable dentro de los atributos de los elementos.
  • CVE-2021-35207 – Se descubrió un problema en Zimbra Collaboration Suite con versión 8.8.x antes de la versión 8.8.15 Patch 23 y 9.0 antes de 9.0.0 Patch 16. Existe una vulnerabilidad XSS en el componente de inicio de sesión de Zimbra Web Client, en la que un atacante puede ejecutar JavaScript arbitrario agregando JavaScript ejecutable a el parámetro loginErrorCode de la URL de inicio de sesión.

Estas vulnerabilidades han sido solucionadas en la versión 9.0.0 bajo el parche 16. Se recomienda mantener actualizados los sistemas a su versión estable más reciente.

Para mayor información: