La empresa Zimbra ha emitido una alerta a los administradores de sus sistemas, instándolos a corregir manualmente una vulnerabilidad Zero-Day que se está explotando activamente para comprometer servidores de correo electrónico. La vulnerabilidad afecta específicamente a la versión 8.8.15 del Zimbra Collaboration Suite (ZCS).
Vulnerabilidad descubierta por investigador de Google
La falla de seguridad, que actualmente carece de una ID de CVE, es un Cross-Site Scripting (XSS) reflejado. Fue descubierto e informado por el investigador de seguridad Clément Lecigne de la Google Threat Analysis Group.
Los actores de amenazas podrían aprovechar esta vulnerabilidad para robar información confidencial del usuario o ejecutar código malicioso en sistemas vulnerables. Aunque Zimbra no reveló que la falla se usara en ataques, Maddie Stone de Google TAG confirmó hoy que la vulnerabilidad XSS fue descubierta durante una explotación activa en un ataque dirigido.
Solución manual sin interrupción del servicio
Zimbra aún no ha proporcionado parches oficiales para abordar esta vulnerabilidad, pero ofreció una solución que los administradores pueden aplicar manualmente. La compañía pidió a los usuarios que «apliquen la solución manualmente en todos los nodos de su buzón».
El procedimiento necesario para mitigar la vulnerabilidad incluye:
- Hacer un backup del directorio /opt/zimbra/jetty/webapps/zimbra/m/momoveto
- Editar la línea 40 del archivo
- Actualizar con el siguiente código:
<input name="st" type="hidden" value="${fn:escapeXml(param.st)}"/>
La inclusión de la función escapeXml() permite limpiar los datos ingresados por el usuario, escapando de caracteres especiales utilizados en XML y evitando así fallas XSS.
Esta solución se puede aplicar sin interrumpir el servicio, ya que no es necesario reiniciar el servicio de Zimbra para implementar la mitigación.
Ataques previos a servidores Zimbra
Los administradores deben priorizar la corrección de esta vulnerabilidad, ya que en los últimos años ha sido común explotar errores de Zimbra para atacar servidores de correo electrónico.
Por ejemplo, en junio de 2022, se explotaron errores de omisión de autenticación y ejecución remota de código de Zimbra para violar más de 1.000 servidores.
A partir de septiembre de 2022, los delincuentes informáticos comenzaron a abusar de una vulnerabilidad RCE sin parches en Zimbra Collaboration Suite, comprometiendo casi 900 servidores vulnerables en dos meses.
El grupo de hacking ruso Winter Vivern también usó exploits dirigidos a otro error XSS reflejado desde febrero de 2023 para violar los portales de correo web de los gobiernos alineados con la OTAN y robar buzones de correo electrónico pertenecientes a funcionarios, gobiernos, personal militar y diplomáticos.