Trusted Design

解説:

CVE-2023-37580に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2023-37580は、Zimbra Collaboration Suite (ZCS) のZimbra Classic Web Clientに存在するクロスサイトスクリプティング (XSS) の脆弱性です。 この脆弱性は、ユーザーが制御する入力がWebページに組み込まれる際に適切にサニタイズされないことが根本原因です。 その結果、特別に細工されたリクエストに埋め込まれた悪意のあるスクリプトがユーザーに反射され、ブラウザによって実行される可能性があります。 この脆弱性はCWE-79（Webページ生成時の入力の不適切な無害化）に分類されます。

1.1 影響

この脆弱性が悪用されると、攻撃者は被害者のブラウザセッションのコンテキストで任意のスクリプトコードを実行できます。 これにより、セッショントークン（クッキー）の窃取、ユーザーアカウントの乗っ取り、認証情報の取得、メール設定の変更、被害者になりすましてのメール送信、または攻撃者が制御するドメインへのリダイレクトなどが可能になります。 結果として、ユーザーデータおよび対象システムの機密性と完全性が侵害される可能性があります。

本脆弱性は、ゼロデイ脆弱性として実際に悪用されたことが確認されており、CISAのKnown Exploited Vulnerabilities (KEV) カタログにも記載されています。

1.2 深刻度

• CVSSスコア: 6.1 (Medium)
• CVSS v3.1 Vector String: AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

2. 対象となる環境

2.1 影響を受けるOSバージョン

本脆弱性は、特定のOSバージョンではなくZimbra Collaboration Suiteアプリケーション自体に存在します。 影響を受けるZimbra Collaboration Suite (ZCS) のバージョンは以下の通りです。

• Zimbra Collaboration (ZCS) 8.8.15 Patch 41より前のすべてのバージョン。
• 具体的には、Zimbra Collaboration Suite 8.8.15のp3, p5, p11, p26, p30〜p35, p37, p38, p40の各パッチバージョンを含む、8.8.0から8.8.15までのバージョン。

2.2 影響を受ける設定

本脆弱性は、Zimbra Classic Web Clientコンポーネントに特化して影響を及ぼします。 特定の設定に依存するものではなく、Classic Web Clientの使用自体が影響を受けます。

3. 影響を受けた時の兆候

• Zimbra Classic Web Clientのアクセスログにおける、通常とは異なるJavaScriptの実行またはスクリプトインジェクションパターン。
• エンコードされたスクリプトタグやJavaScriptイベントハンドラを含む疑わしいURLパラメータ。
• セッショントークンの窃取や、外部IPアドレスからの予期しないアカウントアクセスなど、認証に関する異常。
• メール内のリンクをクリックした後、ユーザーから報告される予期しない動作。
• セッションクッキーの盗難、ユーザーアカウントの乗っ取り、Zimbraプラットフォーム内での不正な操作の証拠。
• 電子メールアカウントの侵害、認証情報の盗難、または組織の電子メールインフラストラクチャ内での攻撃のさらなる拡散の報告。
• 特定の攻撃キャンペーンでは、Zimbra認証トークンがntcpk[.]orgのようなドメインに窃取された兆候。

4. 推奨対策

4.1 本対策

• Zimbra Collaboration Suiteをバージョン8.8.15 Patch 41以降に直ちにアップグレードしてください。
• この修正は入力のサニタイズを通じて実施され、特にstパラメータの内容がHTMLオブジェクトの値として設定される前にエスケープされるように変更されました。
• 公式のパッチは2023年7月25日にリリースされています。

4.2 暫定回避策（緩和策）

• Zimbra Classic Web Clientを無効にし、Zimbra Web App（モダンUI）を使用することを検討してください。
• Zimbraエンドポイントを標的とする一般的なXSSペイロードを検出・ブロックするために、Webアプリケーションファイアウォール（WAF）ルールを実装してください。
• HTTPリクエストログを監視し、<script>、javascript:、onerror=などのXSSパターンを含む疑わしいパラメータがないか確認してください。
• ブラウザベースのXSS検出機能とコンテンツセキュリティポリシー（CSP）違反監視を導入してください。
• 認証ログと、ユーザーから報告されたフィッシングの試みや疑わしいメールを関連付けて調査してください。
• Zimbra Classic Web Clientの詳細なログを有効にし、異常なパターンがないか定期的にレビューしてください。
• Content Security Policyヘッダーが実装されている場合、CSP違反のアラートを設定してください。
• リンククリック後に失敗した認証試行が急増していないか監視してください。
• Zimbraユーザーを標的とするフィッシングキャンペーンがないか、メールセキュリティゲートウェイのログをレビューしてください。
• 侵害の疑いのあるアカウントについては、強制的にパスワードをリセットしてください。
• 不審なリンクをクリックするリスクについて、ユーザーに周知徹底してください。

5. その他解説すべき観点

• 攻撃手法: ネットワークベースの攻撃であり、ユーザーの操作（悪意のあるURLをクリックすること）が必要です。 攻撃者はXSSペイロードを含む悪意のあるURLを作成し、フィッシングメールやソーシャルエンジニアリング、または侵害されたウェブサイトに埋め込むことで拡散します。
• 既知の悪用: この脆弱性は2023年6月以降、ギリシャ、モルドバ、チュニジア、ウクライナ、ポーランド、ベトナム、パキスタンの政府機関を標的として、実際に悪用されました。 GoogleのThreat Analysis Group (TAG) は、4つの異なるグループがこの脆弱性を悪用していることを確認しています。 ほとんどの攻撃活動は、初期の修正がGitHubで公開された後に行われました。

参照したサイト

• CVE-2023-37580: Zimbra Collaboration Suite XSS Vulnerability - SentinelOne
• Understanding the Zimbra Cross-Site Scripting Flaw (CVE-2023-37580) - Indusface
• Zero-Day Flaw in Zimbra Email Software Exploited by Four Hacker Groups
• Zimbra Collaboration XSS vulnerability CVE-2023-37580 - Broadcom Inc.
• CVE-2023-37580 - CVE Record
• Unpacking the Zimbra Cross-Site Scripting Vulnerability (CVE-2023-37580) — API Security
• CVE-2023-37580.yaml - projectdiscovery/nuclei-templates - GitHub
• Zimbra Vulnerability Exploited in the Wild - Gridinsoft Blogs
• NVD-CVE-2023-37580 - NIST
• Security Update for Zimbra Collaboration Suite Version 8.8.15 CVE-2023-37580
• Zimbra 0-day used to target international government organizations - Google Blog
• Zimbra Security Advisories - Zimbra :: Tech Center
• CVE-2023-37580: Zimbra — script reflected into the classic web client | SCRTY:CRDS
• Unpacking the Zimbra Cross-Site Scripting Vulnerability (CVE-2023-37580) - National Cyber Warfare Foundation (NCWF)
• Vulnerability Change Records for CVE-2023-37580 - NVD
• Critical Zimbra RCE and XSS Flaws Enable Mailbox Takeover and Enterprise Record Manipulation - Mallory.ai