Zimbra Collaboration Server 10.0 < 10.0.9、10.1.0 < 10.1.1 XSS

medium Nessus プラグイン ID 211699

概要

リモートウェブサーバーには、クロスサイトスクリプティングの影響を受ける Webアプリケーションが含まれています。

説明

- Zimbra Collaboration Suite (ZCS) 10.1 までで問題が発見されました。OnlyOffice フォーマッターによるファイルコンテンツの不適切なサニタイズが原因で、ブリーフケースモジュールを通じて折り返し型クロスサイトスクリプティング (XSS) の問題が発生します。これは、攻撃者がアップロードした悪意のあるファイルを含む共有フォルダを指す細工された URL を被害者が開いたときに発生します。この脆弱性により、攻撃者は被害者のセッションの文脈で任意の JavaScript を実行できる可能性があります。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

バージョン 10.0.9、10.1.1 以降にアップグレードしてください。

参考資料

https://wiki.zimbra.com/wiki/Zimbra_Releases/10.0.9

https://wiki.zimbra.com/wiki/Zimbra_Releases/10.1.1

https://wiki.zimbra.com/wiki/Security_Center

https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories

プラグインの詳細

深刻度: Medium

ID: 211699

ファイル名: zimbra_CVE-2024-45511.nasl

バージョン: 1.4

タイプ: combined

エージェント: unix

ファミリー: CGI abuses

公開日: 2024/11/21

更新日: 2025/6/12

サポートされているセンサー: Nessus Agent, Nessus

リスク情報

VPR

リスクファクター: Low

スコア: 3.0

CVSS v2

リスクファクター: Medium

基本値: 6.4

現状値: 4.7

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:N

CVSS スコアのソース: CVE-2024-45511

CVSS v3

リスクファクター: Medium

基本値: 5.4

現状値: 4.7

ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

脆弱性情報

CPE: cpe:/a:zimbra:collaboration_suite

必要な KB アイテム: installed_sw/zimbra_zcs

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2024/9/4

脆弱性公開日: 2024/11/20

参照情報

CVE: CVE-2024-45511

IAVA: 2024-A-0764-S