Trusted Design

CVE-2019-9621 の詳細

CVEの情報

説明:
Zimbra Collaboration Suite before 8.6 patch 13, 8.7.x before 8.7.11 patch 10, and 8.8.x before 8.8.10 patch 7 or 8.8.x before 8.8.11 patch 3 allows SSRF via the ProxyServlet component.

CVE更新日: 2019-04-30 18:29:08.633000

CVSSバージョン: 3.1

CVSSスコア: 7.5

KEVの情報

KEV更新日: 2025-07-07

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.810370000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2019-9621について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2019-9621は、Zimbra Collaboration Suite (ZCS) のProxyServletコンポーネントにおけるサーバーサイドリクエストフォージェリ（SSRF）の脆弱性です。この脆弱性は、不十分な権限検証に起因します。

1.1 影響

攻撃者は、有効な非管理者トークンを使用して、脆弱なZimbraサーバーを介して任意のネットワークリクエストを中継させることが可能です。これにより、内部システムの操作、クラウドメタデータエンドポイントへのアクセス、またはファイアウォールの背後にあるサービスとの対話が可能になります。この動作は、ポートスキャン、情報収集、さらなる悪用のための足がかりとして使用される可能性があります。

特に、Zimbra Collaboration Serverのバージョン8.8.11より前のバージョンで、Memcachedがサーバー側でキャッシュとして使用されている場合、ログイン認証後の攻撃者によってリモートコード実行が可能になることがあります。

1.2 深刻度

  • CVSS v3.x Base Score: 7.5 (High)
    • CVSS v3.1 Vector: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
  • CWE: CWE-918 (Server-Side Request Forgery), CWE-807 (Reliance on Untrusted Inputs in a Security Decision)
  • この脆弱性はCISAの既知の悪用された脆弱性（KEV）カタログに追加されており、積極的に悪用されていることが確認されています。
  • Exploit Prediction Scoring System (EPSS) スコアは81.037%であり、30日以内に悪用される確率が高いとされています（100パーセンタイル）。

2. 対象となる環境

2.1 影響を受けるZimbra Collaboration Suite (ZCS) のバージョン

以下のバージョンのZimbra Collaboration Suite (ZCS) が影響を受けます。

  • 8.6 Patch 13より前のバージョン
  • 8.7.xのうち、8.7.11 Patch 10より前のバージョン
  • 8.8.xのうち、8.8.10 Patch 7より前のバージョン、または8.8.11 Patch 3より前のバージョン

2.2 影響を受ける設定

この脆弱性は、ProxyServletコンポーネントに存在し、不十分な権限検証が原因です。攻撃には有効な非管理者トークンが必要です。

また、Zimbra Collaboration Server 8.8.11より前のバージョンで、Memcachedがサーバー側でキャッシュとして有効になっている場合、攻撃者が認証後にリモートコード実行を達成できる可能性があります。ただし、単一サーバーインストールではMemcachedが起動していても使用されていない場合があり、その場合攻撃シナリオは限定されます。

3. 影響を受けた時の兆候

明示的な兆候は特定されていませんが、脆弱性が悪用された場合、以下のような活動がバックエンドシステム、ネットワーク監視、またはログを通じて検出される可能性があります。

  • 内部ネットワークスキャン活動
  • 内部システムへの不正なリクエスト
  • ファイアウォールの背後にあるサービスへの異常なアクセス
  • 情報漏洩の兆候
  • 疑わしいプロセス実行やファイル変更（リモートコード実行に成功した場合）

4. 推奨対策

4.1 本対策

影響を受けるZimbra Collaboration Suiteを以下のパッチ適用済みのバージョンにアップデートしてください。

  • ZCS 8.6 Patch 13以降
  • ZCS 8.7.11 Patch 10以降
  • ZCS 8.8.10 Patch 7以降
  • ZCS 8.8.11 Patch 3以降

4.2 暫定回避策（緩和策）

パッチが利用できない場合は、以下の緩和策を検討してください。

  • WAF（Web Application Firewall）ルールを適用する。
  • ネットワークのエグレスフィルタリングを設定する。
  • 機能フラグ（feature flags）による制限を検討する。
  • 過去のログを調査し、悪用の兆候がないか確認する。
  • CISAは、緩和策が利用できない場合は製品の使用を中止することを推奨しています。

5. 他に解説すべき観点

  • 発見日: 2019年3月19日にセキュリティ研究者An Trinh氏によって初めて発見され、2019年4月30日にNVDに公開されました。Zimbraは公開時には既にパッチを適用済みでした。
  • 悪用状況: PoC (Proof of Concept) エクスプロイトやMetasploitモジュールが公開されており、広範囲で悪用されています。
  • CISA KEVへの追加: CISAは2025年7月7日にこの脆弱性を既知の悪用された脆弱性（KEV）カタログに追加しました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る