zimbramail-CVE-2025-68645-poc

Una prueba de concepto que explota una vulnerabilidad de inclusión de archivos locales (LFI) existente en la interfaz de usuario clásica de Webmail de Zimbra Collaboration (ZCS) 10.0 y 10.1 debido al manejo inadecuado de los parámetros de solicitud proporcionados por el usuario en el servlet RestFilter.

Vulnerabilidad

La vulnerabilidad existe debido a una validación de entrada incorrecta en el servlet RestFilter. Un atacante remoto no autenticado puede crear solicitudes al endpoint /h/rest para influir en el despacho interno de solicitudes, permitiendo la inclusión de archivos arbitrarios del directorio WebRoot.

• Los parámetros controlados por el usuario no se sanearon correctamente.
• El enrutamiento interno de solicitudes puede ser manipulado.
• Se pueden incluir archivos arbitrarios bajo el directorio WebRoot en las respuestas del servidor.

Versiones Afectadas

• Versiones de Zimbra 10.0.x anteriores a 10.0.18
• Versiones de Zimbra 10.1.x anteriores a 10.1.13

PoC (por sirifu4k1)

http://127.0.0.1/h/rest?javax.servlet.include.servlet_path=/WEB-INF/web.xml

Acerca del directorio WebRoot de Zimbra: https://github.com/Zimbra/zm-web-client/tree/develop/WebRoot

Automatización

Nuclei-Template:

https://github.com/projectdiscovery/nuclei-templates/blob/main/http/cves/2025/CVE-2025-68645.yaml

En la naturaleza

FOFA:

((title="Zimbra Web Client Sign In") || (title="Zimbra 网络客户端登录"))

SHODAN:

http.title:"Zimbra Web Client Sign In"

Impacto

Un atacante remoto no autenticado puede incluir archivos arbitrarios del directorio WebRoot, exponiendo potencialmente información sensible.

• Leer archivos sensibles (configuraciones, datos de entorno)
• Filtrar credenciales o rutas internas
• Reunir inteligencia para una mayor explotación
• Encadenar con otras vulnerabilidades para un compromiso más profundo

Vector 3.x CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H / Puntuación base 3.x 8.80 / Severidad 3.x ALTA

Remediación y Mitigación

Actualice a la última versión de Zimbra Collaboration.

• ZCS 10.0.18
• ZCS 10.1.13 y posteriores

Acciones Recomendadas:

1. Actualice inmediatamente a una versión parcheada
2. Deshabilite la interfaz de usuario clásica si no es necesaria
3. Monitoree los registros en busca de accesos sospechosos a /h/rest
4. Restrinja el acceso público a los endpoints web de Zimbra cuando sea posible
5. Revise los permisos de WebRoot y los archivos expuestos

Referencias

https://nvd.nist.gov/vuln/detail/CVE-2025-68645

https://wiki.zimbra.com/wiki/Security_Center

https://wiki.zimbra.com/wiki/Zimbra_Responsible_Disclosure_Policy

https://x.com/sirifu4k1/status/2006031417088639064

Descargo de responsabilidad

Esta herramienta es solo para pruebas de seguridad autorizadas. El acceso no autorizado a sistemas informáticos es ilegal.