CVE-2023-37580

Суть уязвимости

CVE-2023-37580 представляет собой уязвимость типа Reflected Cross-Site Scripting (XSS) в компоненте Classic Web Client системы Zimbra Collaboration Suite (ZCS). Проблема возникает из-за недостаточной фильтрации входных данных в параметрах URL.

Злоумышленник может сформировать вредоносную ссылку, содержащую JavaScript-сценарий. При переходе авторизованного пользователя по такой ссылке скрипт выполняется в контексте его сессии. Это позволяет атакующему: * Похитить сессионные куки (Session Cookies). * Получить доступ к конфиденциальным данным почтового ящика. * Выполнять действия от имени жертвы (отправка писем, изменение настроек).

Уязвимость затрагивает версии ZCS 8.8.15, 9.0.0 и 10.0.0.

Как исправить

Основным способом устранения уязвимости является установка актуальных патчей, выпущенных производителем. Перед обновлением рекомендуется создать резервную копию системы или снимок (snapshot) виртуальной машины.

Для установки обновлений выполните следующие команды от имени суперпользователя (root):

1. Обновите список пакетов:

apt update

1. Установите обновления для компонентов Zimbra:

apt install zimbra-patch

1. Переключитесь на пользователя zimbra и перезапустите сервисы:

su - zimbra -c "zmcontrol restart"

Примечание: Для систем на базе RHEL/CentOS используйте yum check-update и yum install zimbra-patch соответственно.

Актуальные версии с исправлением: * ZCS 10.0.2 * ZCS 9.0.0 Patch 34 * ZCS 8.8.15 Patch 41

Временные меры

Если немедленное обновление системы невозможно, необходимо применить ручное исправление для блокировки вектора атаки на уровне конфигурации сервера.

1. Создайте резервную копию файла mimetypes.xml:

cp /opt/zimbra/conf/mimetypes.xml /opt/zimbra/conf/mimetypes.xml.bak

1. Отредактируйте файл /opt/zimbra/conf/mimetypes.xml, найдя строку с расширением js. Убедитесь, что для JavaScript-файлов не разрешено исполнение в небезопасном контексте, или временно ограничьте обработку специфических параметров через правила фильтрации на уровне Reverse Proxy (например, Nginx), если он используется перед Zimbra.

2. В случае активной эксплуатации рекомендуется принудительно завершить все активные сессии пользователей:

su - zimbra -c "zmpython -m zimbra.common.auth.session_manager --clear_all"

1. Рекомендуется использовать современный интерфейс (Modern Web Client) вместо Classic UI, так как основная часть XSS-уязвимостей последнего времени затрагивает именно старый интерфейс.