Zimbra Collaboration Suite (ZCS)

Die Schwachstelle steckt in der Komponente mailboxd der Zimbra Collaboration Suite (ZCS) von Synacor, einer verbreiteten Software für E-Mail und Zusammenarbeit. Es handelt sich um eine unzureichende Beschränkung externer XML-Entitäten, eine sogenannte XXE-Schwachstelle (XML External Entity Injection). Wenn die Software eingehende XML-Daten verarbeitet, wertet sie darin enthaltene Verweise auf externe Entitäten aus, statt sie zu unterbinden. Ein Angreifer kann eine präparierte XML-Anfrage einschleusen – demonstriert wurde dies über die Autodiscover-Schnittstelle, die solche XML-Daten entgegennimmt. Dadurch lässt sich die Software dazu bringen, eingebettete externe Verweise aufzulösen. Auf diesem Weg kann ein Angreifer typischerweise auf lokale Dateien des Servers zugreifen oder vom Server ausgehende Netzwerkanfragen anstoßen und so an Informationen gelangen, die ihm eigentlich verwehrt sein sollten. Betroffen sind Server, auf denen die verwundbare Version der Zimbra Collaboration Suite betrieben wird.