Resumen ejecutivo
Se identificó una vulnerabilidad, activamente explotada, de severidad media (CVSS 6.1) en Zimbra Collaboration (ZCS) 9.0 y 10.0. Esta vulnerabilidad de tipo Cross Site Scripting (XSS) se encuentra en la función CalendarInvite de la interfaz de usuario clásica de correo web de Zimbra y radica en una incorrecta validación de entrada en el manejo del encabezado del calendario. Esta falla permite a un atacante ejecutar códigos JavaScript de forma arbitraria al manipular los encabezados de calendario en un mensaje de correo. La explotación de esta vulnerabilidad posibilita la ejecución de acciones no autorizadas en el contexto de la sesión del usuario víctima durante la visualización del mensaje. Se recomienda planificar y ejecutar las acciones de mitigación correspondientes para esta vulnerabilidad.
Recursos afectados
- Zimbra Collaboration Suite (ZCS) verisones 9.0 y 10.0
Análisis técnico
- CVE-2024-27443: Se descubrió un problema en Zimbra Collaboration (ZCS) 9.0 y 10.0. Hay una vulnerabilidad de cross site scripting (XSS) en la función CalendarInvite de la interfaz de usuario clásica del correo web de Zimbra, debido a una validación de entrada incorrecta en el manejo del encabezado del calendario. Un atacante puede explotar esto a través de un mensaje de correo electrónico que contenga un encabezado de calendario manipulado con un payload XSS incorporado. Cuando una víctima ve este mensaje en la interfaz clásica del correo web de Zimbra, el payload se ejecuta en el contexto de la sesión de la víctima, lo que potencialmente conduce a la ejecución de código JavaScript arbitrario.
- CWE-79
- CVSS: 6.1 (media)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
- Explotación: Detectada
Mitigación / Solución
El fabricante, recomienda aplicar las mitigaciones según las instrucciones del vendedor para el producto Zimbra Collaboration Suite (ZCS). También sugiere seguir la guía aplicable BOD 22-01 para los servicios en la nube. En caso de que las mitigaciones no estén disponibles, se recomienda descontinuar el uso del producto.