CVE-2022-41352

Critica9.8Pubblicata il 26 settembre 2022

È stato scoperto un problema in Zimbra Collaboration (ZCS) 8.8.15 e 9.0. Un attaccante può caricare file arbitrari tramite amavis sfruttando una falla di cpio (estrazione in /opt/zimbra/jetty/webapps/zimbra/public) che può portare a un accesso incorretto a qualsiasi altro account utente. Zimbra raccomanda pax rispetto a cpio. Inoltre, pax è tra i prerequisiti di Zimbra su Ubuntu; tuttavia, pax non fa più parte di un'installazione predefinita di Red Hat dopo RHEL 6 (o CentOS 6). Una volta installato pax, amavis lo preferisce automaticamente rispetto a cpio.

Sfruttata attivamente

Nel catalogo CISA delle vulnerabilità sfruttate dal 20 ott 2022
Le agenzie federali statunitensi devono correggerla entro il 10 nov 2022 (direttiva BOD 22-01)
Primo attacco osservato 24 giorni dopo la divulgazione
Usata in campagne ransomware

Apply updates per vendor instructions.

Fonte: CISA KEV · 19 giu 2025 25 feb 2025 20 feb 2025 12 feb 2025 25 lug 2024 18 lug 2024

Punteggio CVSS9.8 / 10CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Tipo di debolezza (CWE)CWE-22, CWE-22

Vendorsynacor