Vulnerabilidad en el componente webmail de Zimbra Collaboration Suite (ZCS) (CVE-2022-37043)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-352 Falsificación de petición en sitios cruzados (Cross-Site Request Forgery)

Fecha de publicación:

12/08/2022

Última modificación:

16/08/2022

Descripción

Se ha descubierto un problema en el componente webmail de Zimbra Collaboration Suite (ZCS) versiones 8.8.15 y 9.0. Cuando es usado preauth, los tokens CSRF no son comprobados en algunos endpoints POST. Por lo tanto, cuando un usuario autenticado visualiza una página controlada por un atacante, será enviada una petición a la aplicación que parece ser la prevista. El token de tipo CSRF es omitido en la petición, pero la petición sigue teniendo éxito.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.70 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno