简介
远程 Web 服务器包含受到多种漏洞影响的 Web 应用程序。
描述
根据应用程序自我报告的版本号,Zimbra Collaboration Server 受到多个漏洞影响,其中包括:
- Oracle Java SE 的 Oracle Java SE、Oracle GraalVM Enterprise Edition 产品中的漏洞(组件:Libraries)。支持的版本中受影响的是 Oracle Java SE:7u331、8u321、11.0.14、17.0.2、18;Oracle GraalVM Enterprise Edition:20.3.5、21.3.1 和 22.0.0.2。此漏洞较容易受到攻击,其允许未经身份验证的攻击者通过多种协议进行网络访问,从而破坏 Oracle Java SE 和 Oracle GraalVM Enterprise Edition。成功攻击此漏洞可导致在未经授权的情况下访问重要数据,或完整访问 Oracle Java SE 和 Oracle GraalVM Enterprise Edition 可访问的所有数据。注意:此漏洞适用于需加载并运行不可信代码(如来自互联网的代码)且安全性依赖于 Java 沙盒的 Java 部署,该部署通常在需在沙盒中运行 Java Web Start 应用程序或需在沙盒中运行 Java 小程序的客户端上。此漏洞也可通过使用指定组件中的 API 加以利用,如通过向 API 提供数据的 Web 服务。(CVE-2022-21476)
- Oracle Java SE 的 Oracle Java SE、Oracle GraalVM Enterprise Edition 产品中的漏洞(组件:Libraries)。支持的版本中受影响的是 Oracle Java SE:17.0.2 和 18;Oracle GraalVM Enterprise Edition:21.3.1 和 22.0.0.2。此漏洞较容易受到攻击,其允许未经身份验证的攻击者通过多种协议进行网络访问,从而破坏 Oracle Java SE 和 Oracle GraalVM Enterprise Edition。成功攻击此漏洞可导致在未经授权的情况下创建、删除或修改重要数据或 Oracle Java SE 和 Oracle GraalVM Enterprise Edition 可访问的所有数据。注意:此漏洞适用于需加载并运行不可信代码(如来自互联网的代码)且安全性依赖于 Java 沙盒的 Java 部署,该部署通常在需在沙盒中运行 Java Web Start 应用程序或需在沙盒中运行 Java 小程序的客户端上。此漏洞也可通过使用指定组件中的 API 加以利用,如通过向 API 提供数据的 Web 服务。(CVE-2022-21449)
- Oracle Java SE 的 Oracle Java SE、Oracle GraalVM Enterprise Edition 产品中的漏洞(组件:JSSE)。支持的版本中受影响的是 Oracle Java SE:8u361、8u361-perf、11.0.18、17.0.6、20;Oracle GraalVM Enterprise Edition:20.3.9、21.3.5 和 22.3.1。难以利用的漏洞允许未经身份验证的攻击者通过 TLS 进行网络访问,从而破坏 Oracle Java SE 和 Oracle GraalVM Enterprise Edition。成功利用此漏洞进行攻击可导致在未经授权的情况下创建、删除或修改关键数据或所有 Oracle Java SE、Oracle GraalVM Enterprise Edition 可访问数据的访问权限,以及未经授权即可访问关键数据或完整访问所有 Oracle Java SE、Oracle GraalVM Enterprise Edition 可访问数据。注意:此漏洞适用于需加载并运行不可信代码(如来自互联网的代码)且安全性依赖于 Java 沙盒的 Java 部署,该部署通常在需在沙盒中运行 Java Web Start 应用程序或需在沙盒中运行 Java 小程序的客户端上。此漏洞也可通过使用指定组件中的 API 加以利用,如通过向 API 提供数据的 Web 服务。(CVE-2023-21930)
- 在 Zimbra Collaboration (ZCS) 8.8.15、9.0 和 10.0 中发现一个问题。
可以通过电子邮件消息内的链接(指向网络邮件重定向端点)中的 JavaScript 代码造成 XSS,进而引发会话窃取,例如当受害者在 Zimbra Webmail 中单击这种链接时。(CVE-2023-48432)
请注意,Nessus 尚未测试这些问题,而是只依靠应用程序自我报告的版本号来判断。
解决方案
升级到版本 8.8.15 Patch 45、9.0.0 Patch 38、10.0.6 或更高版本。
插件详情
代理: unix
支持的传感器: Nessus Agent, Nessus
风险信息
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
漏洞信息
CPE: cpe:/a:zimbra:collaboration_suite
必需的 KB 项: installed_sw/zimbra_zcs
易利用性: Exploits are available