CVE-2022-41352 in Zimbra Collaboration Suite

Tóm tắt

Bởi VulDB • 29/06/2026

Đã phát hiện một vấn đề trong Zimbra Collaboration Suite (ZCS) phiên bản 8.8.15 và 9.0. Kẻ tấn công có thể tải lên các tệp tùy ý thông qua amavis bằng cách lợi dụng lỗ hổng của cpio (giải nén vào /opt/zimbra/jetty/webapps/zimbra/public), điều này có thể dẫn đến việc truy cập sai trái vào bất kỳ tài khoản người dùng nào khác. Zimbra khuyến nghị sử dụng pax thay vì cpio. Ngoài ra, pax là một trong các thành phần bắt buộc của Zimbra trên Ubuntu; tuy nhiên, pax không còn nằm trong cài đặt mặc định của Red Hat sau phiên bản RHEL 6 (hoặc CentOS 6). Khi pax được cài đặt, amavis sẽ tự động ưu tiên sử dụng nó thay vì cpio.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• Đặt trước: 26/09/2022
• Tiết lộ: 26/09/2022
• Kiểm duyệt: được chấp nhận
• mục: VDB-209541
• CPE: sẵn sàng
• CWE: CWE-434 (Đã xác nhận)
• CVSS: 9.8 (NVD)
• EPSS: 0.95478
• KEV: có
• Các hoạt động: rất thấp
• ngành: Homeoffice, Lawfirm, ...

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2022-41352
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2022-41352
• CVE Details: https://www.cvedetails.com/cve/CVE-2022-41352/