zimbramail-CVE-2025-68645-poc

Una proof-of-concept che sfrutta una vulnerabilità di Local File Inclusion (LFI) presente nella Webmail Classic UI di Zimbra Collaboration (ZCS) 10.0 e 10.1 a causa della gestione impropria dei parametri di richiesta forniti dall'utente nel servlet RestFilter.

Vulnerabilità

La vulnerabilità esiste a causa di una convalida impropria degli input nel servlet RestFilter. Un attaccante remoto non autenticato può creare richieste verso l'endpoint /h/rest per influenzare l'instradamento interno delle richieste, consentendo l'inclusione di file arbitrari dalla directory WebRoot.

• I parametri controllati dall'utente non vengono correttamente sanificati.
• Il routing interno delle richieste può essere manipolato.
• File arbitrari nella directory WebRoot possono essere inclusi nelle risposte del server.

Versioni Affette

• Versioni di Zimbra 10.0.x precedenti alla 10.0.18
• Versioni di Zimbra 10.1.x precedenti alla 10.1.13

Poc (by sirifu4k1)

http://127.0.0.1/h/rest?javax.servlet.include.servlet_path=/WEB-INF/web.xml

Informazioni sulla directory WebRoot di Zimbra: https://github.com/Zimbra/zm-web-client/tree/develop/WebRoot

Automazione

Nuclei-Template:

https://github.com/projectdiscovery/nuclei-templates/blob/main/http/cves/2025/CVE-2025-68645.yaml

Nel mondo reale

FOFA:

((title="Zimbra Web Client Sign In") || (title="Zimbra 网络客户端登录"))

SHODAN:

http.title:"Zimbra Web Client Sign In"

Impatto

Un attaccante remoto non autenticato può includere file arbitrari dalla directory WebRoot, esponendo potenzialmente informazioni sensibili.

• Leggere file sensibili (configurazioni, dati ambientali)
• Divulgare credenziali o percorsi interni
• Raccogliere informazioni per ulteriori sfruttamenti
• Combinare con altre vulnerabilità per una compromissione più profonda

Vettore 3.x CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H / Punteggio Base 3.x 8.80 / Gravità 3.x ALTA

Risoluzione e Mitigazione

Aggiornare all'ultima versione di Zimbra Collaboration.

• ZCS 10.0.18
• ZCS 10.1.13 e successive

Azioni consigliate:

1. Aggiornare immediatamente a una versione patchata
2. Disabilitare la Classic UI se non necessaria
3. Monitorare i log per accessi sospetti a /h/rest
4. Limitare l'accesso pubblico agli endpoint web di Zimbra dove possibile
5. Rivedere i permessi di WebRoot e i file esposti

Riferimenti

https://nvd.nist.gov/vuln/detail/CVE-2025-68645

https://wiki.zimbra.com/wiki/Security_Center

https://wiki.zimbra.com/wiki/Zimbra_Responsible_Disclosure_Policy

https://x.com/sirifu4k1/status/2006031417088639064

Esclusione di responsabilità

Questo strumento è destinato esclusivamente a test di sicurezza autorizzati. L'accesso non autorizzato a sistemi informatici è illegale.