Vulnerabilidades de XXE y RCE en ZIMBRA

Published by

jroliva

marzo 25, 2019

No hay duda que Zimbra es uno de los software para implementar correos electrónicos sobre Linux mas usados, debido a ello no es ajeno a vulnerabilidades, recientemente un investigador de seguridad ha descubierto que mediante la explotación en secuencia de vulnerabilidades recientemente descubiertas, es posible lograr ejecución remota de comandos «RCE» sobre una plataforma Zimbra para tomar el control completo de esta.

Las vulnerabilidades se han catalogado como CVE-2016-9924, CVE-2018-20160 y CVE-2019-9670, las versiones afectadas son todas sin embargo ZIMBRA ha lanzado los parches para la versiones 8.7.11 y 8.8x, las cuales las pueden ubicar aquí :

https://wiki.zimbra.com/wiki/Zimbra_Releases

https://wiki.zimbra.com/wiki/Zimbra_Releases/8.7.11/P10

https://wiki.zimbra.com/wiki/Zimbra_Releases/8.8.9/P9

El exploit realizado en python al parecer a la fecha aún no es publico ( si lo encuentran me avisan 😀 ), ya que se ha publicado un vídeo del P.O.C. de la explotación hace unos días :

Zimbra ha emitido un comunicados y parches a las vulnerabilidades por versión especifica, como la 8.8.x y 8.7.11 sin embargo hasta que el exploit este disponible no se sabrá certeramente si las otras versiones también son afectadas.

Este seria el procedimiento para aplicar el parche en la versión 8.7.11

Descargar el parche:

Descomprimir :

Reiniciar los servicios :

Espero que cuando ubique el exploit poder realizar las pruebas para verificar la vulnerabilidad por ahora solo toca aplicar los parches respectivos.

Saludos

Juan Oliva

@jroliva

2 respuestas a “Vulnerabilidades de XXE y RCE en ZIMBRA”

Christian

agosto 22, 2019

Buenas tardes, quería realizarle una consulta con referencia a llevar el curso de Ethical Hacking ; ya que tiene una larga experiencia en el rubro podría ser en Perú Linux o Adiestra. Muchas gracias .

Responder
jroliva

agosto 23, 2019

Hola Christian, mas allá de donde lleves el curso, lo que recomiendo es que primero investigue al instructor, primero que tenga certificaciones en Ethical Hacking , certificaciones de seguridad de información como ISO, de Riesgos o productos, no cuentan por que sobre todo las de ISO abarca sobre todo la parte de seguridad defensiva y gestión, como segundo punto validar que se dedique a hacer proyectos de Pentesting, mucha gente tiene las certificaciones y se dedica a defender, como eso es complicado es posible validar eso, sus redes sociales , Linkedin, Twitter puede ser buen punto, además si escribe artículos sobre hacking, es muy buena señal de que esta involucrado en el tema y finalmente si participa en eventos ya sea nacionales o internacionales, participar en estos espacios valida mucho el nivel de exigencia que uno puede tener en el campo, por que en la mayoría concursas con otros profesionales del mismo rubro, para poder exponer tu charla.

Espero que le sirva.
Saludos
Juan Oliva
@jroliva

Responder

Replica a Christian Cancelar la respuesta

Juan Oliva

Consultor en Ciberseguridad con mas de 17 años de experiencia en el campo, muy involucrado en proyectos de Ethical Hacking, análisis y explotación de vulnerabilidades en infraestructura, aplicaciones web, APIs y Móviles, pruebas de ingeniería social y revisión de código.

Juan Oliva