Zimbra patch zero

Due settimane dopo la divulgazione iniziale, Zimbra ha rilasciato aggiornamenti di sicurezza che correggono una vulnerabilità zero-day sfruttata negli attacchi contro i server di posta elettronica Zimbra Collaboration Suite (ZCS).

Ora tracciato come CVE-2023-38750, il difetto di sicurezza è un Cross-Site Scripting (XSS) riflesso scoperto dal ricercatore di sicurezza Clément Lecigne di Google Threat Analysis Group.

Gli attacchi XSS rappresentano una minaccia significativa, poiché consentono agli autori delle minacce di rubare informazioni sensibili o eseguire codice dannoso su sistemi vulnerabili.

Mentre Zimbra non ha indicato che lo zero-day veniva sfruttato anche quando ha rivelato per la prima volta la vulnerabilità e ha invitato gli utenti a risolverlo manualmente, Maddie Stone di Google TAG ha rivelato che la vulnerabilità è stata scoperta mentre veniva sfruttata in un attacco mirato.

"Per mantenere il massimo livello di sicurezza, chiediamo gentilmente la vostra collaborazione per applicare manualmente la correzione su tutti i nodi della vostra casella di posta", ha detto Zimbra all'epoca, chiedendo agli amministratori di mitigare manualmente il bug di sicurezza.

Mercoledì, due settimane dopo la pubblicazione dell'avviso iniziale, la società ha rilasciato ZCS 10.0.2, una versione che corregge anche il bug CVE-2023-38750, che "potrebbe portare all'esposizione di file JSP e XML interni".

Un altro bug Zimbra XSS riflesso è stato sfruttato almeno dal febbraio 2023 dal gruppo di hacker russo Winter Vivern per violare i portali webmail dei governi allineati alla NATO e rubare le e-mail di funzionari governativi, personale militare e diplomatici.

La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha avvertito oggi le agenzie federali statunitensi di proteggere i propri sistemi dagli attacchi CVE-2023-38750.

L'agenzia ha aggiunto questa vulnerabilità al suo catalogo delle vulnerabilità sfruttate note, che impone alle agenzie federali civili esecutive (FCEB) di applicare patch ai server di posta elettronica ZCS vulnerabili sulle loro reti secondo la direttiva operativa vincolante (BOD 22-01) emessa nel novembre 2021.

CISA ha inoltre fissato un termine di tre settimane per conformarsi, ordinando di mitigare il difetto su tutti i dispositivi privi di patch entro il 17 agosto.

Sebbene il catalogo si concentri principalmente sulle agenzie federali statunitensi, si consiglia vivamente anche alle aziende private di dare priorità e implementare patch per tutte le vulnerabilità elencate nel catalogo dei bug sfruttati della CISA.

"Questi tipi di vulnerabilità sono frequenti vettori di attacco per attori informatici malintenzionati e pongono rischi significativi per l'impresa federale", ha avvertito oggi la CISA.

Questo martedì, la CISA ha anche ordinato alle agenzie federali statunitensi di risolvere un bug di bypass di autenticazione nell'Endpoint Manager Mobile (EPMM) di Ivanti, precedentemente MobileIron Core, che è stato utilizzato come zero-day per hackerare una piattaforma software utilizzata da 12 ministeri norvegesi.

Zimbra esorta gli amministratori a correggere manualmente gli zero-day sfruttati negli attacchi

Ivanti corregge il bug zero-day di MobileIron sfruttato negli attacchi

Adobe corregge il bypass della patch per il difetto CVE-2023-29298 sfruttato di ColdFusion

Microsoft: Zero-day di Office senza patch sfruttato negli attacchi ai vertici della NATO

Il Patch Tuesday di luglio 2023 di Microsoft avverte di 6 zero-day e 132 difetti