Trusted DesignCVE-2022-41352 の詳細
CVEの情報
説明:
An issue was discovered in Zimbra Collaboration (ZCS) 8.8.15 and 9.0. An attacker can upload arbitrary files through amavis via a cpio loophole (extraction to /opt/zimbra/jetty/webapps/zimbra/public) that can lead to incorrect access to any other user accounts. Zimbra recommends pax over cpio. Also, pax is in the prerequisites of Zimbra on Ubuntu; however, pax is no longer part of a default Red Hat installation after RHEL 6 (or CentOS 6). Once pax is installed, amavis automatically prefers it over cpio.
CVE更新日: 2022-09-26 02:15:10.733000
CVSSバージョン: 3.1
CVSSスコア: 9.8
KEVの情報
KEV更新日: 2022-10-20
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.954780000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2022-41352は、Zimbra Collaboration Suite (ZCS) に存在する深刻なパス・トラバーサルおよびリモートコード実行 (RCE) の脆弱性です。この脆弱性は、ZimbraのAmavis（アンチウイルスエンジン）が受信メールをスキャンする際に、
cpioユーティリティがアーカイブを安全でない方法で処理することに起因します。攻撃者は、特別に細工されたメールの添付ファイル（TARまたはCPIOアーカイブ）を送信することで、任意のファイルをZimbraサーバー上の任意の場所にアップロードし、Webシェルを配置してリモートでコードを実行する可能性があります。この脆弱性は、発見時にすでに活発な悪用が確認されていました。1. 脆弱性の概要
CVE-2022-41352は、Zimbra Collaboration Suite (ZCS) のAmavisコンポーネントがアーカイブを抽出する際に
cpioユーティリティを安全でない方法で使用することに起因するパス・トラバーサル脆弱性です。攻撃者はこの脆弱性を悪用して、Zimbraサーバーの公開WebディレクトリにWebシェルなどの任意のファイルをアップロードし、リモートでコードを実行することができます。1.1 影響
この脆弱性が悪用された場合、認証されていない攻撃者がZimbraサーバー上に任意のファイルをアップロードし、リモートで任意のコマンドを実行できる可能性があります。これにより、サーバーが完全に侵害される危険性があります。攻撃者はWebシェルを配置した後、他のユーザーアカウントへの不正アクセスや、ルート権限への昇格を引き起こす可能性もあります。
1.2 深刻度
CVE-2022-41352は、CVSSスコア9.8の「緊急（Critical）」に分類される非常に深刻な脆弱性です。 この脆弱性はCISAの「既知の悪用された脆弱性カタログ (Known Exploited Vulnerabilities Catalog)」にも追加されており、活発な悪用が確認されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
この脆弱性の影響を受けるOSは、Zimbra Collaboration Suiteが動作している環境によります。特に、
paxユーティリティがデフォルトでインストールされていないRed Hat/CentOSベースのOSで脆弱性が顕著です。UbuntuベースのZimbraインストールではpaxがデフォルトでインストールされているため、デフォルトではこの脆弱性の影響を受けにくいとされています。影響を受ける可能性がある特定のLinuxディストリビューション: * Red Hat Enterprise Linux 8 * CentOS 8 * Oracle Linux 8 * Rocky Linux 8
2.2 影響を受ける設定
影響を受けるのは、ZimbraのAmavisコンポーネントがアーカイブ抽出に
cpioユーティリティを使用するように設定されている環境です。paxユーティリティがインストールされていない場合、Amavisはcpioにフォールバックします。3. 影響を受けた時の兆候
この脆弱性が悪用された場合、以下のような兆候が見られる可能性があります。 * Zimbraの公開Webディレクトリ（例:
/opt/zimbra/jetty/webapps/zimbra/public/または/opt/zimbra/jetty_base/webapps/...）に、許可されていない不審なファイル（特にJSP Webシェルなど）が存在する。 * ログファイル（例:/opt/zimbra/log/mailbox.log）に、.cpio、.tar、または.rpmファイルに関する不審なログエントリが見られる。ただし、攻撃者はログを改ざんまたは削除する可能性があるため、この兆候が常に確認できるとは限りません。 * サーバー上で予期しないコマンドが実行されたり、アカウントへの不正ログインがあったりする。 * Zimbraサーバーのパフォーマンス低下や異常な動作。4. 推奨対策
4.1 本対策
paxユーティリティのインストール:paxユーティリティをシステムにインストールすることで、Amavisがアーカイブ抽出時にcpioの代わりにpaxを使用するようになり、脆弱性が緩和されます。yum install paxapt-get install paxpaxインストール後、Zimbraサービスを再起動することが推奨されます。4.2 暫定回避策（緩和策）
cpio抽出の無効化: Amavisの設定でcpioによる抽出を無効にする。/zimbra/public/ディレクトリへのアクセスを制限するWAFルールを導入する。参照サイト
その他解説すべき観点: