Zimbra a correctifs publi\u00e9s<\/a> pour contenir une faille de s\u00e9curit\u00e9 activement exploit\u00e9e dans sa suite de collaboration d’entreprise qui pourrait \u00eatre exploit\u00e9e pour t\u00e9l\u00e9charger des fichiers arbitraires vers des instances vuln\u00e9rables.<\/p>\n Suivi comme CVE-2022-41352 (score CVSS\u00a0: 9,8), le probl\u00e8me affecte un composant de la suite Zimbra appel\u00e9 Amavis<\/a>un filtre de contenu open source, et plus pr\u00e9cis\u00e9ment, l’utilitaire cpio qu’il utilise pour analyser et extraire des archives.<\/p>\n La faille, \u00e0 son tour, serait enracin\u00e9e dans une autre vuln\u00e9rabilit\u00e9 sous-jacente (CVE-2015-1197<\/a>) qui a \u00e9t\u00e9 divulgu\u00e9e pour la premi\u00e8re fois au d\u00e9but de 2015, qui selon Flashpoint<\/a> a \u00e9t\u00e9 corrig\u00e9, pour ensuite \u00eatre annul\u00e9 dans les distributions Linux ult\u00e9rieures.<\/p>\n “Un attaquant peut utiliser le package cpio pour obtenir un acc\u00e8s incorrect \u00e0 tout autre compte d’utilisateur”, a d\u00e9clar\u00e9 Zimbra dans un avis publi\u00e9 la semaine derni\u00e8re, ajoutant qu’il “recommande pax plut\u00f4t que cpio”.<\/p>\n Les correctifs sont disponibles dans les versions suivantes –<\/p>\n Tout ce qu’un adversaire doit faire pour militariser la lacune est d’envoyer un e-mail avec une pi\u00e8ce jointe d’archive TAR sp\u00e9cialement con\u00e7ue qui, une fois re\u00e7ue, est soumise \u00e0 Amavis, qui utilise le module cpio pour d\u00e9clencher l’exploit.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Kaspersky a divulgu\u00e9<\/a> que des groupes APT inconnus ont activement profit\u00e9 de la faille dans la nature, l’un des acteurs “infectant syst\u00e9matiquement tous les serveurs vuln\u00e9rables d’Asie centrale”.<\/p>\n Les attaques, qui se sont d\u00e9roul\u00e9es sur deux vagues d’attaques au d\u00e9but et \u00e0 la fin du mois de septembre, visaient principalement des entit\u00e9s gouvernementales de la r\u00e9gion, abusant de la position initiale pour d\u00e9poser des shells Web sur les serveurs compromis pour des activit\u00e9s de suivi.<\/p>\n Sur la base des informations partag\u00e9es par la soci\u00e9t\u00e9 de r\u00e9ponse aux incidents Volexity, environ 1 600 serveurs Zimbra auraient \u00e9t\u00e9 infect\u00e9s dans ce qu’elle appelle un “m\u00e9lange d’attaques cibl\u00e9es et opportunistes”.<\/p>\n “Certains chemins d’acc\u00e8s au shell Web […] ont \u00e9t\u00e9 utilis\u00e9s dans l’exploitation cibl\u00e9e (probablement APT) d’organisations cl\u00e9s du gouvernement, des t\u00e9l\u00e9communications et de l’informatique, principalement en Asie\u00a0; d’autres ont \u00e9t\u00e9 utilis\u00e9s dans une exploitation mondiale massive \u00bb, la soci\u00e9t\u00e9 a dit<\/a> dans une s\u00e9rie de tweets.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/La-nouvelle-vulnerabilite-Amazon-Ring-aurait-pu-exposer-tous-vos.png\")
<\/a><\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/Google-Cloud-bloque-une-attaque-DDoS-record-de-46-millions.png\")
<\/a><\/div>\n