BDU:2022-04979 (CVE-2018-6882)

Уязвимость функции ZmMailMsgView.getAttachmentLinkHtml() корпоративной системы управления электронной почтой Zimbra Collaboration Suite (ZCS), позволяющая нарушителю выполнить произвольный код

Опубликовано: 2022-08-15

Описание

Уязвимость функции ZmMailMsgView.getAttachmentLinkHtml() корпоративной системы управления электронной почтой Zimbra Collaboration Suite (ZCS) связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код, путем отправки специально созданного электронного сообщения, содержащего заголовок Content - Location

Затрагиваемое ПО и версии

Zimbra Collaboration Suite (до 8.7 Patch 1)Zimbra Collaboration Suite (от 8.8.0 до 8.8.7)

Способ устранения

Использование рекомендаций:
https://wiki.zimbra.com/wiki/Zimbra_Releases/8.8.7
https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories

Оценка CVSS

Балл	6.4 — средняя опасность

Источники и патчи

http://seclists.org/fulldisclosure/2018/Mar/52 http://www.securityfocus.com/archive/1/541891/100/0/threaded https://wiki.zimbra.com/wiki/Zimbra_Releases/8.8.7 https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories https://www.securify.nl/advisory/SFY20180101/cross-site-scripting-vulnerability-in-zimbra-collaboration-suite-due-to-the-way-it-handles-attachment-links.html https://nvd.nist.gov/vuln/detail/CVE-2018-6882 https://www.cisa.gov/sites/default/files/csv/known_exploited_vulnerabilities.csv

Проверьте безопасность своего сайта и почты → Полная проверка домена