Vulnerabilidades de XSS en Zimbra Collaboration

Riesgo: Medio

Recursos afectados:

Zimbra Collaboration Network Edition y Open-Source Edition:

• Zimbra Collaboration < 8.8.15 Patch 1, tiene una vulnerabilidad XSS reflexivo, por la consola de Administración.
• Zimbra Collaboration < 8.8.12 Patch 1, tiene XSS persistente.
• Zimbra Collaboration 8.7.x – 8.8.11P2, tiene XSS no persistente.
• Zimbra Collaboration < 8.6.0 Patch 5, tiene XSS.

Descripción:

Fueron publicados alertas de vulnerabilidades de seguridad confirmadas, que fueron inmediatamente corregidas para servidores Zimbra Collaboration.
Estás vulnerabilidades están presentes en el cliente web y la consola de administración, y dan lugar a una vulnerabilidad conocida XSS (Cross Site Scripting) en este caso se presentan de dos tipos:

• Almacenado o permanente: La inyección de código maliciosa queda almacenada en el servidor.
• Reflexivo o Reflejado: La inyección de código viaja por los parámetros del mensaje HTTP, pero no queda almacenada del lado del servidor.

Estas vulnerabilidades permiten a un atacante ejecutar remotamente código malicioso en servidores de correo Zimbra y robar información, entre otros ataques

Solución:

Actualizar los servidores Zimbra Collaboration a la última versión del
software disponible en el sitio web oficial de descargas: Zimbra Releases

Detalles:

Los identificadores asociados son:
CVE-2019-15313, CVE-2019-12427, CVE-2019-11318, CVE-2019-8947, CVE-2015-2249.