Nueva vulnerabilidad de correo electrónico de Zimbra
Se puso en conocimiento una vulnerabilidad nueva de alta gravedad, en el paquete de correo electrónico Zimbra, el cual, si es realizado con éxito, permite que el atacante no autenticado pueda robar contraseñas de texto sin cifrar de usuarios con los cuales no tuvo interacción alguna
SonarSource menciona en un informe compartido con The Hacker News: “Con el consiguiente acceso a los buzones de correo de las víctimas, los atacantes pueden escalar potencialmente su acceso a organizaciones objetivo y obtener acceso a varios servicios internos y robar información altamente confidencial”.
El problema se ha catalogado como un caso de “envenenamiento de Memcached con solicitud no autenticada”, que está registrado como como CVE-2022-27924 (puntuación CVSS: 7,5), lo que indica que el escenario esta planteado para que cierto individuo pueda inyectar código malicioso y desviar información confidencial.
Llega a ser posible gracias al envenenamiento de las entradas de cache de ruta IMAP en el servidor Memcached el cual es utilizado para buscar usuarios de Zimbra y reenviar sus solicitudes HTTP a los servicios de back-end apropiados.
Ya que Memcached analiza las solicitudes entrantes línea por línea, esta vulnerabilidad facilita al atacante enviar solicitud de búsqueda especialmente diseñada al servidor que contiene caracteres CRLF, permitiendo ejecutar comandos no deseados.
Los investigadores señalan que la falla existe porque “los caracteres de nueva línea (\r\n) no se escapan en la entrada de un usuario que no es de confianza. Esta falla en el código finalmente permite a los atacantes robar credenciales de texto claro de los usuarios de las instancias de Zimbra específicas”.
El atancate, gracias a esta capacidad, logra corromper el chache para sobrescribir una entrada de modo que reenvíe todo el tráfico IMAP a un servidor controlado por el atacante, incluidas las credenciales del usuario objetivo en texto no cifrado.
Habiendo mencionado esto, el atacante afirma que ya está en posesión de las direcciones de correo electrónico de las víctimas para poder envenenar las entradas del caché y que utilizan un cliente IMAP para recuperar mensajes de correo electrónico de un servidor de correo.
Los investigadores señalan lo siguiente: “Por lo general, una organización usa un patrón para las direcciones de correo electrónico de sus miembros, como por ejemplo {nombre}.{apellido}@example.com. “Se puede obtener una lista de direcciones de correo electrónico de fuentes OSINT como LinkedIn”.
La tenica denomidana “contrabando de respuestas” puede ser explotada por el atacante de manera que pueda eludir ciertas restricciones, que implica el “contrabando” de respuestas HTTP no autorizadas que abusan de la falla de inyección CRLF para reenviar el tráfico IMAP a un servidor no autorizado, robando así las credenciales de los usuarios sin conocimiento previo. de sus direcciones de correo electrónico.
Los investigadores mencionan: “La idea es que al inyectar continuamente más respuestas que elementos de trabajo en los flujos de respuesta compartidos de Memcached, podemos forzar búsquedas aleatorias de Memcached para usar respuestas inyectadas en lugar de la respuesta correcta. Esto funciona porque Zimbra no validó la clave de la respuesta de Memcached al consumirla “.
Recomendación
El fabricante indica desde su web que la versión 9.0.0 no es vulnerable ante este ataque, por lo que se recomienda actualizar a dicha versión de Zimbra y siempre tener el cuidado respectivo en relación a algún correo electrónico sospechoso o no solicitado. Añadiendo que se recomienda a realizar una revisión de las trazas de auditoria el servidor Zimbra en busca de alguna interacción con evidencia de compromiso, así como bloquear a nivel de red el tráfico hacia esos destinos.
