Trusted Design

CVE-2022-27925 の詳細

CVEの情報

説明:
Zimbra Collaboration (aka ZCS) 8.8.15 and 9.0 has mboximport functionality that receives a ZIP archive and extracts files from it. An authenticated user with administrator rights has the ability to upload arbitrary files to the system, leading to directory traversal.

CVE更新日: 2022-04-21 00:15:08.407000

CVSSバージョン: 3.1

CVSSスコア: 7.2

KEVの情報

KEV更新日: 2022-08-11

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.986760000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2022-27925について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2022-27925は、Zimbra Collaboration Suite (ZCS) に存在するディレクトリトラバーサル脆弱性です。この脆弱性は、ZCSのmboximport機能がZIPアーカイブを処理し、そこからファイルを抽出する際に、不適切な入力検証が行われることに起因します。結果として、認証された管理者ユーザーが悪意のあるZIPアーカイブを細工することで、システム上の任意の場所にファイルをアップロードできる可能性があります。これにより、リモートコード実行（RCE）につながる可能性があります。

1.1 影響

この脆弱性は、悪意のあるファイルのアップロードを可能にし、これによりリモートコード実行（RCE）の可能性が生じます。当初は管理者権限を持つ認証済みユーザーによる悪用が必要とされていましたが、認証バイパスの脆弱性であるCVE-2022-37042と組み合わせることで、認証なしでのリモートコード実行が可能となり、その影響はさらに深刻になります。

1.2 深刻度

NVD（National Vulnerability Database）によるCVSS v3の基本スコアは7.2（重要）と評価されています。米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、この脆弱性を積極的に悪用されている脆弱性として「Known Exploited Vulnerabilities (KEV) Catalog」に追加しており、早期の対策を強く推奨しています。また、EPSS（Exploit Prediction Scoring System）スコアは94.31%（99.943パーセンタイル）と、悪用される確率が極めて高いとされています。

2. 対象となる環境

2.1 影響を受けるZCSバージョン

この脆弱性は以下のZimbra Collaboration Suite (ZCS) のバージョンに影響を与えます。

  • Zimbra Collaboration Suite 8.8.15 (パッチレベルp30まで)
  • Zimbra Collaboration Suite 9.0.0 (パッチレベルp23まで)

注記として、この脆弱性の影響を受けるのはZimbra Collaboration Suite Network Edition（有償版）であり、mboximportエンドポイントを持たないOpen Source Edition（無償版）は影響を受けないとされています。

2.2 影響を受ける設定

Zimbra Collaboration Suiteのmboximport機能が影響を受けます。この機能はZIPアーカイブを受信し、そこからファイルを抽出する役割を担っています。脆弱性の原因は、ZIPアーカイブ抽出ルーチンにおける入力値の不適切な検証であり、具体的には「Zip Slip」脆弱性（CWE-22: Improper Limitation of a Pathname to a Restricted Directory）のパターンに該当します。

3. 影響を受けた時の兆候

システムがCVE-2022-27925の悪用を受けた場合の兆候として、以下の点が挙げられます。

  • /zimbra/や/zimbraAdmin/などの公開ディレクトリに、不審なファイル、特にJSPウェブシェルが存在する。
  • ZCSサーバーへの受信リクエストにおいて、ZCS 8.8.15および9.0.0の正規のJSPファイルリストにないJSPファイルへのアクセスが見られる。
  • 攻撃者がルートアクセス権限を獲得した場合、ログファイルが改ざんされている可能性がある。

4. 推奨対策

4.1 本対策

最も推奨される対策は、Zimbra Collaboration Suiteを以下のバージョンにアップグレードすることです。

  • Zimbra Collaboration Suite 8.8.15 Patch 31以降
  • Zimbra Collaboration Suite 9.0.0 Patch 24以降

さらに、CVE-2022-27925を認証なしで悪用可能にするCVE-2022-37042（認証バイパス脆弱性）の修正は、Zimbra Collaboration Suite 8.8.15P33および9.0.0P26で提供されています。したがって、これらのバージョンまたはそれ以降へのアップグレードが推奨されます。

4.2 暫定回避策（緩和策）

  • 利用可能なパッチを速やかに適用するか、それが不可能な場合は対象システムをオフラインにするべきです。
  • 侵害が疑われる場合、Zimbraはデータを失うことなく、最新パッチを適用したZCSサーバーをゼロから再構築する手順を提供しています。
  • 検出シグネチャを展開し、侵害の痕跡（IOCs）を探索するべきです。Huaweiは、本脆弱性に対するIPS保護シグネチャを提供しています。

5. 他に解説すべき観点

  • CVE-2022-37042との連携 この脆弱性は、当初管理者権限を持つ認証済みユーザーによる悪用が必要とされていました。しかし、2022年8月には、認証バイパスの脆弱性であるCVE-2022-37042が発見され、これとCVE-2022-27925を組み合わせることで、認証なしでリモートコード実行が可能になることが判明しました。この組み合わせにより、本脆弱性は大規模な悪用につながっています。

  • CISAのKnown Exploited Vulnerabilities (KEV) Catalogへの追加 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、この脆弱性が活発に悪用されていることを認識し、その悪用が確認された脆弱性としてKEVカタログに追加しました。これにより、連邦政府機関に対して迅速な対策を義務付けています。

  • 大規模な悪用 本脆弱性は、実際に野放しで広範囲に悪用されており、Volexityの調査によると、2022年6月末の時点で1,000を超えるZCSインスタンスに対して認証バイパスと組み合わせて悪用された証拠が確認されています。

参照サイト

NVDサイト

NVDでCVEの詳細を見る

戻る