Zimbra patcht Null

Zwei Wochen nach der ersten Offenlegung hat Zimbra Sicherheitsupdates veröffentlicht, die eine Zero-Day-Schwachstelle schließen, die bei Angriffen auf E-Mail-Server der Zimbra Collaboration Suite (ZCS) ausgenutzt wird.

Die jetzt als CVE-2023-38750 verfolgte Sicherheitslücke ist ein reflektiertes Cross-Site Scripting (XSS), das vom Sicherheitsforscher Clément Lecigne von der Google Threat Analysis Group entdeckt wurde.

XSS-Angriffe stellen eine erhebliche Bedrohung dar, da sie es Bedrohungsakteuren ermöglichen, vertrauliche Informationen zu stehlen oder bösartigen Code auf anfälligen Systemen auszuführen.

Während Zimbra bei der ersten Offenlegung der Schwachstelle nicht darauf hinwies, dass der Zero-Day auch in freier Wildbahn ausgenutzt wurde, und die Benutzer aufforderte, sie manuell zu beheben, enthüllte Maddie Stone von Google TAG, dass die Schwachstelle entdeckt wurde, als sie in einem gezielten Angriff ausgenutzt wurde.

„Um das höchste Sicherheitsniveau aufrechtzuerhalten, bitten wir Sie um Ihre Mithilfe, den Fix manuell auf alle Ihre Postfachknoten anzuwenden“, sagte Zimbra damals und forderte die Administratoren auf, die Sicherheitslücke manuell zu beheben.

Am Mittwoch, zwei Wochen nach Veröffentlichung der ersten Empfehlung, veröffentlichte das Unternehmen ZCS 10.0.2, eine Version, die auch den Fehler CVE-2023-38750 behebt, der „zur Offenlegung interner JSP- und XML-Dateien führen könnte“.

Ein weiterer offensichtlicher Zimbra-XSS-Fehler wurde seit mindestens Februar 2023 von der russischen Hackergruppe Winter Vivern ausgenutzt, um in die Webmail-Portale von NATO-nahen Regierungen einzudringen und die E-Mails von Regierungsbeamten, Militärangehörigen und Diplomaten zu stehlen.

Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat die US-Bundesbehörden heute gewarnt, ihre Systeme vor CVE-2023-38750-Angriffen zu schützen.

Die Behörde hat diese Schwachstelle in ihren Katalog „Known Exploited Vulnerabilities“ aufgenommen, der die Federal Civilian Executive Branch Agencies (FCEB) dazu verpflichtet, anfällige ZCS-E-Mail-Server in ihren Netzwerken gemäß der im November 2021 herausgegebenen verbindlichen Betriebsrichtlinie (BOD 22-01) zu patchen.

CISA hat außerdem eine Frist von drei Wochen für die Einhaltung gesetzt und angewiesen, den Fehler auf allen nicht gepatchten Geräten bis zum 17. August zu beheben.

Obwohl sich der Katalog in erster Linie auf US-Bundesbehörden konzentriert, wird privaten Unternehmen auch dringend empfohlen, Patches für alle im CISA-Katalog ausgenutzter Fehler aufgeführten Schwachstellen zu priorisieren und zu implementieren.

„Diese Art von Schwachstellen sind häufige Angriffsvektoren für böswillige Cyber-Akteure und stellen erhebliche Risiken für das Bundesunternehmen dar“, warnte CISA heute.

An diesem Dienstag wies die CISA außerdem US-Bundesbehörden an, einen Authentifizierungs-Bypass-Fehler in Ivantis Endpoint Manager Mobile (EPMM), ehemals MobileIron Core, zu beheben, der als Zero-Day-Angriff zum Hacken einer von 12 norwegischen Ministerien verwendeten Softwareplattform missbraucht wurde.

Zimbra fordert Administratoren dringend auf, bei Angriffen ausgenutzte Zero-Day-Angriffe manuell zu beheben

Ivanti behebt den Zero-Day-Fehler von MobileIron, der bei Angriffen ausgenutzt wird

Adobe behebt die Patch-Umgehung für den ausgenutzten ColdFusion-Fehler CVE-2023-29298

Microsoft: Ungepatchtes Office Zero-Day bei Angriffen auf NATO-Gipfel ausgenutzt

Der Microsoft-Patchdienstag vom Juli 2023 warnt vor 6 Zero-Days und 132 Schwachstellen