Trusted Design

CVE-2023-34192 の詳細

CVEの情報

説明:
Cross Site Scripting vulnerability in Zimbra ZCS v.8.8.15 allows a remote authenticated attacker to execute arbitrary code via a crafted script to the /h/autoSaveDraft function.

CVE更新日: 2023-07-06 16:15:10.047000

CVSSバージョン: 3.1

CVSSスコア: 9.0

KEVの情報

KEV更新日: 2025-02-25

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.772660000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2023-34192について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2023-34192は、Synacor Zimbra Collaboration Suite (ZCS) v.8.8.15に存在する、認証されたリモート攻撃者が任意のコードを実行できるクロスサイトスクリプティング（XSS）の脆弱性です。この脆弱性は、細工されたスクリプトを/h/autoSaveDraft関数に送信することで悪用されます。

  • 1.1 影響 この脆弱性を悪用されると、攻撃者は機密データへの不正アクセスを獲得し、データ漏洩やユーザーの信頼喪失につながる可能性があります。また、セッションハイジャック、Webサイトの改ざん、機密情報の窃取などを引き起こす可能性があり、機密性、完全性、可用性に対して高い影響を与える可能性があります。

  • 1.2 深刻度 CVSSスコアは9.0であり、深刻度は「Critical（緊急）」に分類されています。 この脆弱性は、CISAの既知の悪用されている脆弱性（KEV）カタログにも2025年2月25日に追加されており、実際に悪用が確認されていることを示しています。 攻撃の複雑度は低く、低い権限とユーザー操作で悪用が可能です。

2. 対象となる環境

  • 2.1 影響を受けるOSバージョン この脆弱性は、Synacor Zimbra Collaboration Suite (ZCS) のバージョン 8.8.15に影響します。 ベンダーパッチが適用されていないすべての以前のバージョンも脆弱であると見なされます。 特定のOSバージョンに依存するものではなく、ZCSのバージョンが重要です。

  • 2.2 影響を受ける設定 脆弱性は、Zimbra ZCS v.8.8.15において、細工されたスクリプトが/h/autoSaveDraft関数に送信されることで発生します。 脆弱なZCSバージョンを使用していること以外に、特定の「影響を受ける設定」は明記されていません。

3. 影響を受けた時の兆候

組織は、/h/autoSaveDraft関数に関連する異常なログアクティビティを監視し、ユーザー入力を検証する必要があります。また、ユーザーセッションにおける行動の異常も調査のためにフラグ付けされるべきです。 システムがインターネットに公開されている場合は、以前の侵害の痕跡を調査することが推奨されます。

4. 推奨対策

  • 4.1 本対策 Synacorが提供する最新のパッチ（ZCS 8.8.15の場合はPatch 40）を直ちに適用することが推奨されます。 または、脆弱性のないバージョンにアップグレードしてください。

  • 4.2 暫定回避策（緩和策） パッチが利用できない場合、または適用できない場合は、製品の使用を中止することを検討してください。 Webアプリケーションファイアウォール（WAF）をブロッキングモードで展開し、特にクロスサイトスクリプティングのペイロードを停止させることで、攻撃をエッジでブロックすることが推奨されます。 ユーザーの権限を最小限に制限する「最小権限の原則」を実装し、潜在的な悪用ベクトルを最小化することも有効です。

他に解説すべき観点

  • 公開日: この脆弱性は2023年7月6日に公開されました。
  • 弱点タイプ: CWE-79（Webページ生成時の入力の不適切な無害化（クロスサイトスクリプティング））に分類されます。
  • 悪用状況: 本脆弱性は、実際に悪用されていることがCISAのKnown Exploited Vulnerabilitiesカタログに記載されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る