Beveiligingsadviezen

Beveilingsadvies; NCSC-2023-0348

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512

   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheid verholpen in Zimbra collaboration suite
Advisory ID     : NCSC-2023-0348
Versie          : 1.00
Kans            : medium
CVE ID          :
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Cross-Site Scripting (XSS)
                  (Remote) code execution (Administrator/Root rechten)
                  Toegang tot gevoelige gegevens
Uitgiftedatum   : 20230714
Toepassing      : Zimbra Zimbra Collaboration
Versie(s)       : 8.8.15
Platform(s)     :

Beschrijving
   Er is een kwetsbaarheid verholpen in Zimbra Collaboration Suite. De
   kwetsbaarheid stelt een kwaadwillende in staat om een
   Cross-Site-Scripting-aanval uit te voeren. Een dergelijke aanval kan
   leiden tot uitvoer van willekeurige code in te context van de
   browser van het slachtoffer, of mogelijk toegang tot gevoelige
   gegevens in de context van de browser van het slachtoffer.

   Hoewel niet bevestigd door Zimbra zelf, hebben onderzoekers ontdekt
   dat de kwetsbaarheid mogelijk als Zeroday beperkt is misbruikt in
   een gerichte aanval.

   Op dit moment is de definitieve update (nog) niet gepubliceerd, maar
   Zimbra heeft wel een artikel gepubliceerd met handmatige acties voor
   systeembeheer. Het betreft het wijzigen van een regel code in een
   pagina van Zimbra. Herstarten van de applicatie is niet nodig en
   Zimbra adviseert deze actie alvast uit te voeren in afwachting van
   de definitieve update, welke in juli wordt verwacht.

Mogelijke oplossingen
   Zimbra heeft (nog) geen updates uitgebracht om de kwetsbaarheid te
   verhelpen in Zimbra Collaboration Suite 8.8.15. Wel heeft Zimbra
   instructies gepubliceerd voor handmatige acties om de kwetsbaarheid
   weg te nemen. Een definitieve update wordt in juli verwacht. Voor
   meer informatie, zie:

   https://info.zimbra.com
      /security-update-zimbra-collaboration-suite-version-8.8.15-import
      ant

   -= Handmatige procedure: =-

   Maak een backup van bestand
   /opt/zimbra/jetty/webapps/zimbra/m/momoveto

   Wijzig het originele bestand op regel 40:

   <input name="st" type="hidden" value="${param.st}"/>

   naar

   <input name="st" type="hidden" value="${fn:escapeXml(param.st)}"/>


   Een herstart is niet nodig.

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.

-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.4.2 (Build 1298)
Charset: utf-8
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=+pOh
-----END PGP SIGNATURE-----