Trusted Design

CVE-2019-9670 の詳細

CVEの情報

説明:
mailboxd component in Synacor Zimbra Collaboration Suite 8.7.x before 8.7.11p10 has an XML External Entity injection (XXE) vulnerability, as demonstrated by Autodiscover/Autodiscover.xml.

CVE更新日: 2019-05-29 22:29:01.507000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-01-10

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999860000

EPSS更新日: 2026-10-19 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2019-9670: Zimbra Collaboration SuiteにおけるXML外部エンティティインジェクションの脆弱性

1. 脆弱性の概要

CVE-2019-9670は、Synacor Zimbra Collaboration Suite (ZCS) のmailboxdコンポーネントに存在するXML外部エンティティインジェクション（XXE）の脆弱性です。この脆弱性は、特にAutodiscover/Autodiscover.xmlを介して悪用される可能性があります。攻撃者は、特別に細工したXMLペイロードを注入することで、機密情報の漏洩、データの改ざん、またはサービス運用妨害（DoS）状態を引き起こす可能性があります。この脆弱性はCISAの既知の悪用されている脆弱性（KEV）カタログにも追加されており、実際に悪用が確認されています。

1.1 影響

この脆弱性が悪用されると、攻撃者は以下のような影響を引き起こす可能性があります。

  • 機密情報の漏洩: サーバ上のファイルの内容（設定ファイル、システムファイルなど）を読み取ることができます。これにより、認証情報などが盗まれる可能性があります。
  • データの改ざん: XML外部エンティティを悪用して、サーバ上のファイルを改ざんする可能性があります（一部のXXE攻撃シナリオにおいて）。
  • サービス運用妨害 (DoS): 大量のエンティティを展開するなどして、サーバのリソースを枯渇させ、サービスを停止させる可能性があります。
  • リモートコード実行 (RCE) への連鎖: このXXE脆弱性は、多くの場合、別の脆弱性（例: SSRF）と組み合わせてリモートコード実行につながる攻撃チェーンの最初のステップとして利用されます。

1.2 深刻度

CVSSv3.1の評価では、深刻度は9.8 (緊急)とされています。 CVSSv2の評価では、深刻度は7.5 (危険)とされています。

CVSSv3.1の評価基準は以下の通りです。 * 攻撃元区分 (AV): ネットワーク * 攻撃条件の複雑さ (AC): 低 * 必要な特権レベル (PR): 不要 * ユーザ関与レベル (UI): 不要 * スコープ (S): 変更なし * 機密性への影響 (C): 高 * 完全性への影響 (I): 高 * 可用性への影響 (A): 高

この脆弱性は、EPSS（Exploit Prediction Scoring System）のスコアが100%に達しており、実際の悪用可能性が非常に高いと評価されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

特定のOSバージョンに限定されず、Synacor Zimbra Collaboration Suiteが動作する環境全般が影響を受けます。

2.2 影響を受ける設定

Synacor Zimbra Collaboration Suite 8.7.x のバージョン 8.7.11p10 より前のバージョンのmailboxdコンポーネントが影響を受けます。

具体的には、以下のバージョンが影響を受けるとされています。 * Synacor Inc. Zimbra Collaboration Suite 8.7.11p10 未満の 8.7.x

3. 影響を受けた時の兆候

この脆弱性は、主に攻撃者がサーバから情報を窃取したり、不正な操作を行ったりするために悪用されます。直接的なユーザや管理者に見える兆候は明確に特定されていませんが、一般的にXXE攻撃の成功によって以下のような兆候が現れる可能性があります。

  • 異常なログエントリ: 通常では発生しないXMLパースエラーや、外部エンティティの解決に関する警告などがログに記録される可能性があります。
  • リソース消費の増加: DoS攻撃の一環として、CPU使用率やメモリ使用量、ネットワークトラフィックが異常に増加する可能性があります。
  • 不正なファイルアクセス: サーバのファイルシステムへの異常なアクセス（設定ファイルの読み取りなど）が監査ログやファイルシステム監視ツールによって検出される可能性があります。
  • 不明なファイルやウェブシェルの存在: 攻撃がRCEに連鎖した場合、サーバ上に不正なファイルやウェブシェルが配置される可能性があります。
  • アカウント情報の流出: 窃取された情報に認証情報が含まれる場合、Zimbraアカウントの不正ログインが発生する可能性があります。

4. 推奨対策

4.1 本対策

ベンダーから提供されている修正プログラムを適用することが最も重要な対策です。

  • Zimbra Collaboration Suiteをバージョン8.7.11p10以降にアップグレードする。
    • ベンダーであるZimbra Security Centerから提供されるセキュリティアドバイザリを参照し、適切なアップデートを適用してください。

4.2 暫定回避策（緩和策）

この脆弱性に対する明確な暫定回避策は公開されていませんが、一般的なXXE攻撃の緩和策として以下が考えられます。

  • XMLパーサーの安全な設定: アプリケーションがXMLを処理する際に使用するXMLパーサーを、外部エンティティの解決を無効化するように設定します。これは、DOCTYPE宣言や外部エンティティを処理しないように設定することで実現できます。ただし、Zimbra Collaboration Suiteの既存の機能を損なう可能性があり、慎重なテストが必要です。
  • ネットワークレベルでの防御: 不審なXMLトラフィックを検出・ブロックするために、WAF（Web Application Firewall）を導入し、XML外部エンティティインジェクションパターンを検出するルールを設定します。
  • システム監視の強化: サーバのログ、ファイルシステム、ネットワークトラフィックを常に監視し、異常なアクティビティを早期に検出できる体制を構築します。
  • Zimbra Collaboration Suiteがインターネットに直接公開されている場合、アクセス制限を強化する: 不必要なポートを閉じ、信頼できるIPアドレスからのアクセスのみを許可するなどの対策を検討します。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る