zimbramail-CVE-2025-68645-poc

Доказательство концепции, эксплуатирующее уязвимость локального включения файлов (Local File Inclusion, LFI), существующую в классическом веб-интерфейсе Webmail Classic UI Zimbra Collaboration (ZCS) 10.0 и 10.1 из-за некорректной обработки предоставленных пользователем параметров запроса в сервлете RestFilter.

Уязвимость

Уязвимость возникает из-за недостаточной проверки входных данных в сервлете RestFilter. Неаутентифицированный удаленный злоумышленник может сформировать запросы к конечной точке /h/rest, чтобы повлиять на внутреннюю диспетчеризацию запросов, что позволяет включить произвольные файлы из каталога WebRoot.

• Параметры, контролируемые пользователем, не очищаются должным образом.
• Внутренняя маршрутизация запросов может быть изменена.
• Произвольные файлы в каталоге WebRoot могут быть включены в ответы сервера.

Затронутые версии

• Zimbra версий 10.0.x до 10.0.18
• Zimbra версий 10.1.x до 10.1.13

PoC (от sirifu4k1)

http://127.0.0.1/h/rest?javax.servlet.include.servlet_path=/WEB-INF/web.xml

О каталоге WebRoot в Zimbra: https://github.com/Zimbra/zm-web-client/tree/develop/WebRoot

Автоматизация

Nuclei-Template:

https://github.com/projectdiscovery/nuclei-templates/blob/main/http/cves/2025/CVE-2025-68645.yaml

В дикой природе

FOFA:

((title="Zimbra Web Client Sign In") || (title="Zimbra 网络客户端登录"))

SHODAN:

http.title:"Zimbra Web Client Sign In"

Воздействие

Неаутентифицированный удаленный злоумышленник может включить произвольные файлы из каталога WebRoot, что потенциально может привести к раскрытию конфиденциальной информации.

• Чтение конфиденциальных файлов (конфигурации, данные окружения)
• Утечка учетных данных или внутренних путей
• Сбор информации для дальнейшей эксплуатации
• Объединение с другими уязвимостями для более глубокого компрометации

Vector 3.x CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H / Базовый балл 3.x 8.80 / Серьезность 3.x ВЫСОКАЯ

Исправление и смягчение

Обновление до последней версии Zimbra Collaboration.

• ZCS 10.0.18
• ZCS 10.1.13 и более поздние

Рекомендуемые действия:

1. Немедленно выполните обновление до исправленной версии
2. Отключите классический интерфейс (Classic UI), если он не требуется
3. Отслеживайте журналы на предмет подозрительного доступа к /h/rest
4. Ограничьте публичный доступ к веб-конечным точкам Zimbra, где это возможно
5. Проверьте права доступа к каталогу WebRoot и раскрываемые файлы

Ссылки

https://nvd.nist.gov/vuln/detail/CVE-2025-68645

https://wiki.zimbra.com/wiki/Security_Center

https://wiki.zimbra.com/wiki/Zimbra_Responsible_Disclosure_Policy

https://x.com/sirifu4k1/status/2006031417088639064

Отказ от ответственности

Этот инструмент предназначен только для авторизованного тестирования безопасности. Несанкционированный доступ к компьютерным системам противозаконен.