Суть уязвимости

Уязвимость типа Cross-Site Scripting (XSS) в компоненте Calendar (Календарь) веб-клиента Zimbra. Злоумышленник может создать специальное событие в календаре, содержащее вредоносный JavaScript-код.

• Механизм атаки: Когда жертва (авторизованный пользователь) просматривает или получает приглашение на это событие в веб-интерфейсе Zimbra, вредоносный код выполняется в её браузере в контексте сессии Zimbra.
• Последствия: Позволяет выполнить произвольный код в браузере пользователя, что может привести к краже сессионных куки, перенаправлению на фишинговые страницы или выполнению действий от имени пользователя.

Как исправить

Установите официальный патч от Synacor, обновив Zimbra Collaboration Suite до защищенной версии.

1. Определите текущую версию Zimbra: bash su - zimbra zmcontrol -v

2. Обновитесь до одной из исправленных версий:

   • ZCS 9.0.0: Установите патч P27 или обновитесь до версии 9.0.0 P28 и выше.
   • ZCS 8.8.15: Установите патч P30 или обновитесь до версии 8.8.15 P31 и выше.
   • ZCS 8.8.14: Установите патч P34 или обновитесь до версии 8.8.14 P35 и выше.

   Команда для обновления (пример для Ubuntu/Debian): ```bash

   Скачайте актуальный пакет .deb с официального сайта Zimbra

   wget https://files.zimbra.com/downloads/8.8.15_GA/zcs-8.8.15_GA_XXXX.j2.ubuntu20_amd64.deb

   Установите пакет

   sudo dpkg -i zcs-8.8.15_GA_XXXX.j2.ubuntu20_amd64.deb ``` Замените ссылку на актуальную для вашей ОС и целевой версии.

3. После установки пакета выполните развертывание: bash cd /tmp/zimbra-installer sudo ./install.sh

Временное решение

Если немедленное обновление невозможно, примените следующие меры:

1. Настройте WAF (Web Application Firewall):

   • Добавьте правило для блокировки X-атак на эндпоинты, связанные с календарем (/calendar, /service/soap).
   • Настройте фильтрацию для параметров, содержащих HTML/JavaScript-теги (например, location, name, comments в событиях календаря).

   Пример правила для ModSecurity (CRS): SecRule ARGS "@detectXSS" "id:1000,phase:2,deny,status:403,msg:'XSS Attack Detected in Calendar'"

2. Ограничьте функционал (крайняя мера):

   • Через консоль администратора Zimbra (zmprov) временно ограничьте возможность создания общих календарей или рассылки приглашений для групп пользователей, не требующих этого по работе.
   • Важно: Это нарушит бизнес-процессы.

3. Повысьте осведомленность:

   • Предупредите пользователей не принимать приглашения в календарь от неизвестных или непроверенных отправителей.