Trusted Design

CVE-2022-37042 の詳細

CVEの情報

説明:
Zimbra Collaboration Suite (ZCS) 8.8.15 and 9.0 has mboximport functionality that receives a ZIP archive and extracts files from it. By bypassing authentication (i.e., not having an authtoken), an attacker can upload arbitrary files to the system, leading to directory traversal and remote code execution. NOTE: this issue exists because of an incomplete fix for CVE-2022-27925.

CVE更新日: 2022-08-12 15:15:16.053000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-08-11

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.918930000

EPSS更新日: 2026-10-19 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2022-37042について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2022-37042は、Zimbra Collaboration Suite (ZCS) における認証バイパスの脆弱性です。この脆弱性は、ZIPアーカイブのメールボックスインポート操作を処理するmboximport機能（具体的にはMailboxImportServlet関数）に存在します。以前の脆弱性CVE-2022-27925に対する不完全な修正が原因で発生し、有効な認証トークンなしでmboximportエンドポイントにアクセスできてしまうため、認証要件を適切に適用できていませんでした。

1.1 影響

本脆弱性が悪用されると、認証されていないリモート攻撃者がZimbraメールサーバー上で認証をバイパスし、任意のファイルアップロード、ディレクトリトラバーサル、そして最終的にはリモートコード実行 (RCE) を実現できます。攻撃者は、ウェブシェルやその他の悪意のあるコードをWebアクセス可能なディレクトリに配置し、長期的なアクセスを維持することが可能です。この脆弱性は、1,000を超えるZCSインスタンスに対して広く悪用され、政府機関や民間企業のネットワークが標的となりました。

1.2 深刻度

CVE-2022-37042は、CVSSv3.0基本スコア9.8の「緊急 (Critical)」と評価されています。CISA（米国サイバーセキュリティ・社会基盤安全保障庁）の既知の悪用されている脆弱性（KEV）カタログにも追加されており、実社会で活発に悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Zimbra Collaboration Suite (ZCS) の以下のバージョンが影響を受けます: * Zimbra Collaboration Suite (ZCS) 8.8.15 (パッチレベルp32まで) * Zimbra Collaboration Suite (ZCS) 9.0.0 (パッチレベルp25まで)

具体的には、8.8.15 Patch 33および9.0.0 Patch 26より前のバージョンが対象です。

2.2 影響を受ける設定

mboximport機能を持つZimbraサーバーが影響を受けます。特に、インターネットに公開されているZimbra Collaboration Suiteサーバーが攻撃の対象となります。本脆弱性は、MailboxImportServlet機能に関連しており、有効なauthtokenを必要としません.

3. 影響を受けた時の兆候

  • Webアクセス可能なディレクトリ（例: /opt/zimbra/jetty/webapps/や類似のZimbraインストールパス）に予期しないファイル（例: .jsp拡張子を持つウェブシェルなど）が存在する。
  • 有効な認証ヘッダーなしに、/service/extension/backup/mboximportまたは類似のmboximportエンドポイントへの疑わしいHTTP POSTリクエストが観測される。
  • Zimbraサーバープロセスから不明な外部IPアドレスへのアウトバウンド接続の証拠がある。
  • バックドアやその他の悪意のあるコードの存在。

4. 推奨対策

4.1 本対策

  • CVE-2022-37042に対応するZimbraの最新のセキュリティパッチを直ちに適用してください。
  • Zimbra Collaboration Suite (ZCS) をバージョン8.8.15 Patch 33、9.0.0 Patch 26、またはそれ以降のバージョンにアップグレードしてください。
  • 定期的なパッチ適用サイクルを維持し、常に最新の状態に保つことが強く推奨されます。

4.2 暫定回避策（緩和策）

  • パッチ適用がすぐにできない場合は、ファイアウォールルールを使用してZimbraサーバーへのネットワークアクセスを制限し、露出を最小限に抑えてください。
  • 既存のZimbraインストール環境を徹底的にセキュリティ評価し、以前の侵害の痕跡（Indicator of Compromise: IoC）がないか確認してください。
  • 影響を受けたサーバーのWebアクセス可能なディレクトリで発見された不正なファイルをレビューし、削除してください。
  • 検知シグネチャを展開し、IoCがないかシステムを監視・調査してください。
  • ZCSが侵害された可能性がある場合、悪意のある活動を直ちに修復し、侵害されたサーバーを復旧させてください。
  • システムの即時更新を怠った、またはインターネットに公開されていた場合、侵害されたとみなし、対策を講じてください。
  • 多要素認証 (MFA) やVPNの使用を含むゼロトラスト原則を導入し、攻撃者がメール認証情報を窃取する攻撃手法を阻止してください。

他に解説すべき観点

  • 攻撃手法の連携: CVE-2022-37042は、ディレクトリトラバーサルの脆弱性であるCVE-2022-27925と組み合わせて悪用されることが多く、認証なしでのリモートコード実行を可能にします。Zimbra Collaboration Suiteを標的とした複数のCVE（CVE-2022-24682、CVE-2022-27924、CVE-2022-30333など）が連携して悪用される攻撃キャンペーンの一部としても報告されています。
  • 攻撃ベクトル: この脆弱性はネットワークベースであり、認証なしでリモートから悪用可能です。攻撃者は、特別に細工されたHTTP POSTリクエストを脆弱なmboximportエンドポイントに送信し、パス・トラバーサル・シーケンスを含む悪意のあるZIPアーカイブをアップロードすることで、Webアクセス可能なディレクトリに任意のファイル（ウェブシェルなど）を書き込むことができます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る