Actus

Le bogue Zimbra permet de voler des identifiants de messagerie sans interaction de l’utilisateur

Par , le 16 juin 2022 - 9 minutes de lecture
Le bogue Zimbra permet de voler des identifiants de messagerie sans interaction de l'utilisateur
Notez l'article

Des détails techniques sont apparus sur une vulnérabilité de haute gravité affectant certaines versions de la solution de messagerie Zimbra que les pirates pourraient exploiter pour voler des identifiants sans authentification ni interaction de l’utilisateur.

Le problème de sécurité est actuellement suivi en tant que CVE-2022-27924 et affecte les versions 8.8.x et 9.x de Zimbra pour les versions open source et commerciales de la plate-forme.

Un correctif a été publié dans les versions de Zimbra ZCS 9.0.0 Patch 24.1 et ZCS 8.8.15 Patch 31.1, disponibles depuis le 10 mai 2022. Zimbra est souvent utilisé par des organisations du monde entier, y compris celles des secteurs gouvernemental, financier et éducatif.

Siphonner silencieusement les identifiants

Siphonner silencieusement les identifiants

La faille a été décrite dans un rapport de chercheurs de SonarSource, qui l’ont résumée comme “Empoisonnement Memcached avec une demande non authentifiée”. L’exploitation est possible via une injection CRLF dans le nom d’utilisateur des recherches Memcached.

Memcached est une instance de service interne qui stocke des paires clé/valeur pour les comptes de messagerie afin d’améliorer les performances de Zimbra en réduisant le nombre de requêtes HTTP au service de recherche. Memcache définit et récupère ces paires à l’aide d’un protocole textuel simple.

Les chercheurs expliquent qu’un acteur malveillant pourrait écraser les entrées de route IMAP pour un nom d’utilisateur connu via une requête HTTP spécialement conçue à l’instance Zimbra vulnérable. Ensuite, lorsque l’utilisateur réel se connecte, le proxy Nginx dans Zimbra transmet tout le trafic IMAP à l’attaquant, y compris les informations d’identification en texte brut.

“Habituellement, les clients de messagerie tels que Thunderbird, Microsoft Outlook, l’application macOS Mail et les applications de messagerie pour smartphone stockent les informations d’identification que l’utilisateur a utilisées pour se connecter à son serveur IMAP sur le disque”, explique SonarSource dans le rapport, soulignant que l’exploit ne fonctionne pas. t nécessitent aucune interaction de l’utilisateur.

“Lorsque le client Mail redémarre ou doit se reconnecter, ce qui peut arriver périodiquement, il s’authentifiera à nouveau auprès de l’instance Zimbra ciblée”, ajoutent les chercheurs.

Connaître l’adresse e-mail de la victime, une information généralement facile à trouver, et utiliser un client IMAP permet à l’attaquant d’exploiter plus facilement la vulnérabilité, mais ces détails ne sont pas obligatoires.

Une deuxième technique d’exploitation permet de contourner les restrictions ci-dessus pour voler les informations d’identification de tout utilisateur sans interaction et sans aucune connaissance de l’instance Zimbra.

Ceci est réalisé grâce à “Response Smuggling”, une voie alternative qui tire parti de l’utilisation d’un client Web pour Zimbra.

“L’idée est qu’en injectant continuellement plus de réponses qu’il n’y a d’éléments de travail dans les flux de réponses partagés de Memcached, nous pouvons forcer les recherches Memcached aléatoires à utiliser les réponses injectées au lieu de la réponse correcte. Cela fonctionne car Zimbra n’a pas validé la clé de la réponse Memcached lors de sa consommation. – SonarSource

De cette façon, un attaquant pourrait détourner la connexion proxy d’utilisateurs aléatoires dont les adresses e-mail sont inconnues, ne nécessitant toujours aucune interaction et/ou générant des alertes pour la victime.

Correction et chronologie

Correction et chronologie

SonarSource a divulgué ses conclusions avec Zimbra le 11 mars 2022. Un premier correctif a été publié le 31 mars 2022, mais il était insuffisant pour résoudre le problème.

Le 10 mai, le fournisseur de logiciels a résolu les problèmes via ZCS 9.0.0 Patch 24.1 et ZCS 8.8.15 Patch 31.1, en créant un hachage SHA-256 de toutes les clés Memcache avant de les envoyer au serveur.

SHA-256 ne peut pas contenir d’espaces blancs, donc aucune nouvelle ligne ne peut être créée pour l’injection CRLF, et aucune attaque d’empoisonnement ne peut avoir lieu sur les versions corrigées.

Il convient de noter que Zimbra a publié hier les mises à jour ZCS 9.0.0 Patch 25 et ZCS 8.8.15 Patch 32 avec une mise à jour d’OpenSSL 1.1.1n, qui corrige une vulnérabilité de boucle infinie provoquant un déni de service, suivi comme CVE-2022-0778.

Docker Desktop et Docker Hub ne sont pas affectés par la vulnérabilité log4j 2. Docker utilise largement le code Go pour créer nos applications, pas Java. Bien que nous utilisions certaines applications Java en interne, nous avons confirmé que nous ne sommes pas vulnérables à CVE-2021-44228 et CVE-2021-45046.

Le courrier Zimbra est-il bon?

Le courrier Zimbra est-il bon?

Sans aucun doute, zimbra mail est la meilleure plateforme pour les e-mails, très pratique et facile à utiliser. En plus de son vaste espace de stockage, l’envoi de nombreux documents et le chargement rapide même des vidéos dispose de nombreux outils complémentaires. Il vous permet également d’accéder à tous les services.

Quel type d’e-mail est Zimbra ? Le serveur Zimbra est un serveur dédié qui gère tout le contenu de la boîte aux lettres, y compris les messages, les contacts, le calendrier et les pièces jointes. Les messages sont reçus du serveur Zimbra MTA, puis transmis à travers tous les filtres qui ont été créés. Les messages sont ensuite indexés et déposés dans la bonne boîte aux lettres.

Quelle est la différence entre Zimbra et Outlook ?

Aperçu. Zimbra Collaboration est une solution de classe entreprise pour la collaboration d’entreprise avec des outils de messagerie, de calendrier et de partage de fichiers…. Microsoft Outlook est un gestionnaire d’informations personnelles de Microsoft qui aide les utilisateurs à communiquer, à gérer les horaires et à trouver…

Qui utilise Zimbra ?

CompagnieSite InternetRevenu
Massachusetts Institute of Technologymit.edu>1000M
VMware Inc.vmware.com>1000M
Groupe Blackfriarsblackfriarsgroup.com1M-10M

Comment libérer de l’espace sur mon serveur de messagerie ?

Comment libérer de l'espace sur mon serveur de messagerie ?
  • Déplacer ou copier des e-mails.
  • Créer ou supprimer des boîtes aux lettres.
  • Utilisez les boîtes aux lettres préférées.
  • Utilisez les boîtes aux lettres intelligentes.
  • Archiver les e-mails.
  • Déplacer ou copier des boîtes aux lettres.
  • Importer ou exporter des boîtes aux lettres.

La suppression de Mail libère-t-elle de l’espace de stockage ? Les e-mails peuvent occuper des tonnes d’espace sur votre système d’exploitation Android. Si vous conservez des milliers, voire des centaines, d’e-mails, il est temps de libérer une quantité importante d’espace en supprimant ces e-mails dans Gmail.

Comment libérer de l’espace dans Mail ?

Le moyen le plus simple de libérer de l’espace Gmail consiste à supprimer par lots à peu près tout ce qui se trouve dans votre boîte de réception. Accédez à votre onglet Promotions, ou peut-être Social, cochez la case dans le coin supérieur gauche pour sélectionner tous les messages, puis appuyez sur supprimer. (C’est le bouton qui ressemble à une poubelle, bien sûr.)

Pourquoi Zimbra est-il un bon choix pour les clients gouvernementaux ?

Pourquoi Zimbra est-il un bon choix pour les clients gouvernementaux ?

Sécurité & Confidentialité = tranquillité d’esprit La sécurité et la confidentialité sont des exigences cruciales pour les gouvernements. Les clients gouvernementaux de Zimbra utilisent des fonctionnalités de sécurité telles que le cryptage de bout en bout S/MIME, l’authentification à deux facteurs (2FA), l’intégration avec des solutions d’authentification unique et des solutions anti-virus/anti-spam (AV/AS) populaires.

Dans quelle mesure Zimbra est-il sécurisé ? Zimbra Collaboration Network Edition fournit des services de sécurité cryptographique pour le courrier électronique : authentification, intégrité des messages, non-répudiation de l’origine (à l’aide de signatures numériques) et confidentialité et sécurité des données (à l’aide du cryptage).

Zimbra Open Source est-il gratuit ?

R : Oui. Zimbra 8.8. 15 est entièrement Open Source et reste le leader du marché pour les installations et l’utilisation.

Commentaires

Laisser un commentaire

Votre commentaire sera révisé par les administrateurs si besoin.