Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en el archivo cs/service/account/AutoCompleteGal.java en cualquier cuenta GAL en zm-mailbox (CVE-2020-10194)

Gravedad CVSS v3.1:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
20/03/2020
Última modificación:
21/07/2021

Descripción

El archivo cs/service/account/AutoCompleteGal.java en zm-mailbox versiones anteriores a 8.8.15.p8, permite a usuarios autenticados solicitar cualquier cuenta GAL. Esto difiere del comportamiento previsto en el cual el dominio del usuario autenticado debe coincidir con el dominio de la cuenta galsync en la petición.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:zimbra:zm-mailbox:*:*:*:*:*:*:*:* 8.8.15 (excluyendo)
cpe:2.3:a:zimbra:zm-mailbox:8.8.15:-:*:*:*:*:*:*
cpe:2.3:a:zimbra:zm-mailbox:8.8.15:patch1:*:*:*:*:*:*
cpe:2.3:a:zimbra:zm-mailbox:8.8.15:patch2:*:*:*:*:*:*
cpe:2.3:a:zimbra:zm-mailbox:8.8.15:patch3:*:*:*:*:*:*
cpe:2.3:a:zimbra:zm-mailbox:8.8.15:patch4:*:*:*:*:*:*
cpe:2.3:a:zimbra:zm-mailbox:8.8.15:patch5:*:*:*:*:*:*
cpe:2.3:a:zimbra:zm-mailbox:8.8.15:patch6:*:*:*:*:*:*
cpe:2.3:a:zimbra:zm-mailbox:8.8.15:patch7:*:*:*:*:*:*