Zimbra corrige zero

Duas semanas após a divulgação inicial, a Zimbra lançou atualizações de segurança que corrigem uma vulnerabilidade de dia zero explorada em ataques direcionados aos servidores de e-mail do Zimbra Collaboration Suite (ZCS).

Agora rastreada como CVE-2023-38750, a falha de segurança é um Cross-Site Scripting (XSS) refletido descoberto pelo pesquisador de segurança Clément Lecigne do Google Threat Analysis Group.

Os ataques XSS representam uma ameaça significativa, permitindo que os agentes da ameaça roubem informações confidenciais ou executem códigos maliciosos em sistemas vulneráveis.

Embora Zimbra não tenha indicado que o dia zero também estava sendo explorado quando divulgou a vulnerabilidade pela primeira vez e pediu aos usuários que a corrigissem manualmente, Maddie Stone do Google TAG revelou que a vulnerabilidade foi descoberta enquanto era explorada em um ataque direcionado.

“Para manter o mais alto nível de segurança, solicitamos a sua cooperação para aplicar a correção manualmente em todos os nós da sua caixa de correio”, disse Zimbra na época, pedindo aos administradores que mitigassem o bug de segurança manualmente.

Na quarta-feira, duas semanas após a publicação do comunicado inicial, a empresa lançou o ZCS 10.0.2, versão que também corrige o bug CVE-2023-38750, que “pode levar à exposição de arquivos JSP e XML internos”.

Outro bug refletido do Zimbra XSS foi explorado desde pelo menos fevereiro de 2023 pelo grupo de hackers russo Winter Vivern para violar portais de webmail de governos alinhados à OTAN e roubar e-mails de funcionários do governo, militares e diplomatas.

A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) alertou hoje as agências federais dos EUA para proteger seus sistemas contra ataques CVE-2023-38750.

A agência adicionou esta vulnerabilidade ao seu catálogo de Vulnerabilidades Exploradas Conhecidas, que obriga as Agências Federais do Poder Executivo Civil (FCEB) a corrigir servidores de e-mail ZCS vulneráveis ​​em suas redes de acordo com a diretiva operacional vinculativa (BOD 22-01) emitida em novembro de 2021.

A CISA também estabeleceu um prazo de três semanas para conformidade, ordenando que mitigassem a falha em todos os dispositivos não corrigidos até 17 de agosto.

Embora o catálogo se concentre principalmente nas agências federais dos EUA, as empresas privadas também são fortemente aconselhadas a priorizar e implementar patches para todas as vulnerabilidades listadas no catálogo de bugs explorados da CISA.

“Esses tipos de vulnerabilidades são vetores de ataque frequentes para atores cibernéticos mal-intencionados e representam riscos significativos para as empresas federais”, alertou hoje a CISA.

Nesta terça-feira, a CISA também ordenou que as agências federais dos EUA resolvessem um bug de desvio de autenticação no Endpoint Manager Mobile (EPMM) da Ivanti, antigo MobileIron Core, que foi usado como dia zero para hackear uma plataforma de software usada por 12 ministérios noruegueses.

Zimbra pede aos administradores que corrijam manualmente a exploração de dia zero em ataques

Ivanti corrige bug de dia zero do MobileIron explorado em ataques

Adobe corrige desvio de patch para falha explorada do ColdFusion CVE-2023-29298

Microsoft: Office zero-day sem patch explorado em ataques de cúpula da OTAN

Patch de terça-feira de julho de 2023 da Microsoft alerta sobre 6 dias zero, 132 falhas