According to its self-reported version number, Zimbra Collaboration Server is affected by multiple vulnerabilities including:

  - Vulnerability in the Oracle Java SE, Oracle GraalVM Enterprise Edition     product of Oracle Java SE (component: Libraries). Supported versions that     are affected are Oracle Java SE: 7u331, 8u321, 11.0.14, 17.0.2, 18; Oracle     GraalVM Enterprise Edition: 20.3.5, 21.3.1 and 22.0.0.2. Easily exploitable     vulnerability allows unauthenticated attacker with network access via     multiple protocols to compromise Oracle Java SE, Oracle GraalVM Enterprise     Edition. Successful attacks of this vulnerability can result in unauthorized     access to critical data or complete access to all Oracle Java SE, Oracle     GraalVM Enterprise Edition accessible data. Note: This vulnerability applies     to Java deployments, typically in clients running sandboxed Java Web Start     applications or sandboxed Java applets, that load and run untrusted code     (e.g., code that comes from the internet) and rely on the Java sandbox for     security. This vulnerability can also be exploited by using APIs in the     specified Component, e.g., through a web service which supplies data to the     APIs. (CVE-2022-21476)

  - Vulnerability in the Oracle Java SE, Oracle GraalVM Enterprise Edition     product of Oracle Java SE (component: Libraries). Supported versions that     are affected are Oracle Java SE: 17.0.2 and 18; Oracle GraalVM Enterprise     Edition: 21.3.1 and 22.0.0.2. Easily exploitable vulnerability allows     unauthenticated attacker with network access via multiple protocols to     compromise Oracle Java SE, Oracle GraalVM Enterprise Edition. Successful     attacks of this vulnerability can result in unauthorized creation, deletion     or modification access to critical data or all Oracle Java SE, Oracle     GraalVM Enterprise Edition accessible data. Note: This vulnerability applies     to Java deployments, typically in clients running sandboxed Java Web Start     applications or sandboxed Java applets, that load and run untrusted code     (e.g., code that comes from the internet) and rely on the Java sandbox for     security. This vulnerability can also be exploited by using APIs in the     specified Component, e.g., through a web service which supplies data to the     APIs. (CVE-2022-21449)

  -	Vulnerability in the Oracle Java SE, Oracle GraalVM Enterprise Edition     product of Oracle Java SE (component: JSSE). Supported versions that are     affected are Oracle Java SE: 8u361, 8u361-perf, 11.0.18, 17.0.6, 20; Oracle     GraalVM Enterprise Edition: 20.3.9, 21.3.5 and 22.3.1. Difficult to exploit     vulnerability allows unauthenticated attacker with network access via TLS     to compromise Oracle Java SE, Oracle GraalVM Enterprise Edition. Successful     attacks of this vulnerability can result in unauthorized creation, deletion     or modification access to critical data or all Oracle Java SE, Oracle     GraalVM Enterprise Edition accessible data as well as unauthorized access to     critical data or complete access to all Oracle Java SE, Oracle GraalVM     Enterprise Edition accessible data. Note: This vulnerability applies to Java     deployments, typically in clients running sandboxed Java Web Start     applications or sandboxed Java applets, that load and run untrusted code     (e.g., code that comes from the internet) and rely on the Java sandbox for     security. This vulnerability can also be exploited by using APIs in the     specified Component, e.g., through a web service which supplies data to the     APIs. (CVE-2023-21930)

  -	An issue was discovered in Zimbra Collaboration (ZCS) 8.8.15, 9.0, and 10.0.
    XSS, with resultant session stealing, can occur via JavaScript code in a     link (for a webmail redirection endpoint) within en email message, e.g., if     a victim clicks on that link within Zimbra webmail. (CVE-2023-48432)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

自己報告されたバージョン番号によると、Zimbra Collaboration Server は以下の複数の脆弱性の影響を受けます。

  - Oracle Java SE の Oracle Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: ライブラリ)。影響を受けるサポートされたバージョンは、Java SE: 7u331、8u321、11.0.14、17.0.2、18、Oracle GraalVM Enterprise Edition: 20.3.5、21.3.1、22.0.0.2 です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性による攻撃が成功すると、重要なデータに不正にアクセスしたり、Oracle Java SE、Oracle GraalVM Enterprise Edition がアクセスできるすべてのデータに完全にアクセスしたりできる可能性があります。注意: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2022-21476)

  - Oracle Java SE の Oracle Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: ライブラリ)。影響を受けるサポートされたバージョンは、Java SE: 17.0.2、18、Oracle GraalVM Enterprise Edition: 21.3.1、22.0.0.2 です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータや Oracle Java SE、Oracle GraalVM Enterprise Edition がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があります。注意: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2022-21449)

  -	Oracle Java SE の Oracle Java SE、Oracle GraalVM Enterprise Edition 製品の脆弱性 (コンポーネント: JSSE)。影響を受けるサポートされたバージョンは、Java SE: 8u361、8u361-perf、11.0.18、17.0.6、20、Oracle GraalVM Enterprise Edition: 20.3.9、21.3.5、22.3.1 です。悪用が難しい脆弱性ですが、認証されていない攻撃者が TLS を使用してネットワークにアクセスし、Oracle Java SE、Oracle GraalVM Enterprise Edition を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータや Oracle Java SE、Oracle GraalVM Enterprise Edition がアクセスできるすべてのデータが権限なしで作成、削除、変更される可能性があるとともに、権限なしで重要なデータにアクセスできるようになったり、Oracle Java SE、Oracle GraalVM Enterprise Edition がアクセスできるすべてのデータに完全にアクセスできるようになったりする可能性があります。注意: この脆弱性は、通常、サンドボックス化された Java Web Start アプリケーションまたはサンドボックス化された Java アプレットを実行しているクライアントで信頼できないコード (インターネットからのコードなど) を読み込んで実行し、セキュリティを Java サンドボックスに依存する Java デプロイメントが対象です。この脆弱性は、指定されたコンポーネントで API を使用することによって (たとえば API にデータを提供する Web サービスを通して) 悪用される可能性もあります。(CVE-2023-21930)

  -	- Zimbra Collaboration Suite (ZCS) 8.8.15、9.0、10.0 で問題が発見されました。
    メールメッセージ内のリンク (ウェブメールのリダイレクトエンドポイント用) の JavaScript コードを介して、結果としてセッション盗取を伴う、XSS が発生する可能性があります。たとえば、被害者が Zimbra ウェブメール内で該当リンクをクリックした場合などです。(CVE-2023-48432)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

根据应用程序自我报告的版本号，Zimbra Collaboration Server 受到多个漏洞影响，其中包括：

  - Oracle Java SE 的 Oracle Java SE、Oracle GraalVM Enterprise Edition 产品中的漏洞（组件：Libraries）。支持的版本中受影响的是 Oracle Java SE：7u331、8u321、11.0.14、17.0.2、18；Oracle GraalVM Enterprise Edition：20.3.5、21.3.1 和 22.0.0.2。此漏洞较容易受到攻击，其允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Oracle Java SE 和 Oracle GraalVM Enterprise Edition。成功攻击此漏洞可导致在未经授权的情况下访问重要数据，或完整访问 Oracle Java SE 和 Oracle GraalVM Enterprise Edition 可访问的所有数据。注意：此漏洞适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在需在沙盒中运行 Java Web Start 应用程序或需在沙盒中运行 Java 小程序的客户端上。此漏洞也可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。(CVE-2022-21476)

  - Oracle Java SE 的 Oracle Java SE、Oracle GraalVM Enterprise Edition 产品中的漏洞（组件：Libraries）。支持的版本中受影响的是 Oracle Java SE：17.0.2 和 18；Oracle GraalVM Enterprise Edition：21.3.1 和 22.0.0.2。此漏洞较容易受到攻击，其允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Oracle Java SE 和 Oracle GraalVM Enterprise Edition。成功攻击此漏洞可导致在未经授权的情况下创建、删除或修改重要数据或 Oracle Java SE 和 Oracle GraalVM Enterprise Edition 可访问的所有数据。注意：此漏洞适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在需在沙盒中运行 Java Web Start 应用程序或需在沙盒中运行 Java 小程序的客户端上。此漏洞也可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。(CVE-2022-21449)

  -	Oracle Java SE 的 Oracle Java SE、Oracle GraalVM Enterprise Edition 产品中的漏洞（组件：JSSE）。支持的版本中受影响的是 Oracle Java SE：8u361、8u361-perf、11.0.18、17.0.6、20；Oracle GraalVM Enterprise Edition：20.3.9、21.3.5 和 22.3.1。难以利用的漏洞允许未经身份验证的攻击者通过 TLS 进行网络访问，从而破坏 Oracle Java SE 和 Oracle GraalVM Enterprise Edition。成功利用此漏洞进行攻击可导致在未经授权的情况下创建、删除或修改关键数据或所有 Oracle Java SE、Oracle GraalVM Enterprise Edition 可访问数据的访问权限，以及未经授权即可访问关键数据或完整访问所有 Oracle Java SE、Oracle GraalVM Enterprise Edition 可访问数据。注意：此漏洞适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在需在沙盒中运行 Java Web Start 应用程序或需在沙盒中运行 Java 小程序的客户端上。此漏洞也可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。(CVE-2023-21930)

  -	在 Zimbra Collaboration (ZCS) 8.8.15、9.0 和 10.0 中发现一个问题。
    可以通过电子邮件消息内的链接（指向网络邮件重定向端点）中的 JavaScript 代码造成 XSS，进而引发会话窃取，例如当受害者在 Zimbra Webmail 中单击这种链接时。(CVE-2023-48432)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

根據程式自我報告的版本號碼，Zimbra Collaboration Server 受到包括下列在內的多個弱點影響：

  - Oracle Java SE 的 Oracle Java SE、Oracle GraalVM 企業版產品中存有弱點 (元件：Libraries)。受影響的支援版本是 Oracle Java SE：7u331、8u321、11.0.14、17.0.2、18；Oracle GraalVM 企業版：20.3.5、21.3.1 和 22.0.0.2。此弱點較易攻擊成功，能夠透過多個通訊協定存取網路的未經驗證攻擊者可惡意利用此弱點入侵 Oracle Java SE、Oracle GraalVM 企業版。若成功攻擊此弱點，攻擊者未經授權即可存取重要資料，或完整存取所有可存取的 Oracle Java SE、Oracle GraalVM Enterprise 版本資料。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。(CVE-2022-21476)

  - Oracle Java SE 的 Oracle Java SE、Oracle GraalVM 企業版產品中存有弱點 (元件：Libraries)。受影響的支援版本是 Oracle Java SE：17.0.2 和 18；Oracle GraalVM 企業版：21.3.1 和 22.0.0.2。此弱點較易攻擊成功，能夠透過多個通訊協定存取網路的未經驗證攻擊者可惡意利用此弱點入侵 Oracle Java SE、Oracle GraalVM 企業版。成功攻擊此弱點可導致在未經授權的情況下，建立、刪除或修改重要資料或所有可存取的 Oracle Java SE、Oracle GraalVM Enterprise 版本資料。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。(CVE-2022-21449)

  -	Oracle Java SE 的 Oracle Java SE、Oracle GraalVM 企業版產品中存有弱點 (元件：JSSE)。受影響的支援版本是 Oracle Java SE：8u361、8u361-perf、11.0.18、17.0.6、20；Oracle GraalVM 企業版：20.3.9、21.3.5 和 22.3.1。此弱點較難攻擊成功，能夠透過 TLS 存取網路的未經驗證攻擊者可利用此弱點入侵 Oracle Java SE、Oracle GraalVM 企業版。成功攻擊此弱點可導致未經授權便能建立、刪除或修改重要資料或所有可供存取之 Oracle Java SE 和 Oracle GraalVM 企業版資料的存取權，以及未經授權地存取重要資料或能完全存取所有 Oracle Java SE 和 Oracle GraalVM 企業版的可存取資料。注意：此弱點適用於 Java 部署，通常是在執行沙箱 Java Web Start 應用程式或沙箱 Java Applet 的用戶端中，這種部署會載入並執行不受信任的程式碼 (例如，來自網際網路的程式碼)，並依賴 Java 沙箱獲得安全性。使用指定之元件中的 API 也可以惡意利用此弱點，例如，透過提供資料給 API 的 Web 服務。(CVE-2023-21930)

  -	據發現，Zimbra Collaboration Suite (ZCS) 8.8.15、9.0、10.0 版中存在問題。
    透過電子郵件訊息內連結 (針對 webmail 重新導向端點) 的 JavaScript 程式碼存在 XSS 弱點，其可導致工作階段遭竊取，例如，受害者按一下 Zimbra webmail 中的該連結。(CVE-2023-48432)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
192099	Zimbra Collaboration Server 8.8.x < 8.8.15 Patch 45, 9.x < 9.0.0 Patch 38, 10.0.x < 10.0.6 Multiple Vulnerabilities	Nessus	CGI abuses	2024/3/14	2024/11/25	high
192099	Zimbra Collaboration Server 8.8.x < 8.8.15 パッチ 45、9.x < 9.0.0 パッチ 38、10.0.x < 10.0.6 の複数の脆弱性	Nessus	CGI abuses	2024/3/14	2024/11/25	high
192099	Zimbra Collaboration Server 8.8.x < 8.8.15 Patch 45、9.x < 9.0.0 Patch 38、10.0.x < 10.0.6 多个漏洞	Nessus	CGI abuses	2024/3/14	2024/11/25	high
192099	Zimbra Collaboration Server 8.8.x < 8.8.15 修補程式 45、9.x < 9.0.0 修補程式 38、10.0.x < 10.0.6 多個弱點	Nessus	CGI abuses	2024/3/14	2024/11/25	high

検出

プラグインの検索

high

high

high

high