{"id":226956,"date":"2022-10-10T16:50:49","date_gmt":"2022-10-10T16:50:49","guid":{"rendered":"https:\/\/magazineoffice.com\/la-falla-sin-parches-de-zimbra-bajo-ataque-esta-permitiendo-a-los-piratas-servidores-de-puerta-trasera\/"},"modified":"2022-10-10T16:50:50","modified_gmt":"2022-10-10T16:50:50","slug":"la-falla-sin-parches-de-zimbra-bajo-ataque-esta-permitiendo-a-los-piratas-servidores-de-puerta-trasera","status":"publish","type":"post","link":"https:\/\/magazineoffice.com\/la-falla-sin-parches-de-zimbra-bajo-ataque-esta-permitiendo-a-los-piratas-servidores-de-puerta-trasera\/","title":{"rendered":"La falla sin parches de Zimbra bajo ataque est\u00e1 permitiendo a los piratas servidores de puerta trasera"},"content":{"rendered":"<p> <br \/>\n<\/p>\n<div itemprop=\"articleBody\">\n<figure class=\"intro-image intro-left\"><figcaption class=\"caption\"\/>  <\/figure>\n<aside id=\"social-left\" class=\"social-left\" aria-label=\"Read the comments or share this article\">\n<\/aside>\n<p><!-- cache hit 864:single\/related:e242e46bc63ecd9a98cd2c89dfb831e4 --><!-- empty --><\/p>\n<p>Una vulnerabilidad de ejecuci\u00f3n de c\u00f3digo sin parches en el software Zimbra Collaboration est\u00e1 siendo explotada activamente por atacantes que utilizan los ataques a servidores de puerta trasera.<\/p>\n<p>Los ataques comenzaron a m\u00e1s tardar el 7 de septiembre, cuando un cliente de Zimbra inform\u00f3 unos d\u00edas despu\u00e9s que un servidor que ejecutaba el motor de filtrado de spam Amavis de la empresa proces\u00f3 un correo electr\u00f3nico que conten\u00eda un archivo adjunto malicioso.  En cuesti\u00f3n de segundos, el esc\u00e1ner copi\u00f3 un archivo Java malicioso en el servidor y luego lo ejecut\u00f3.  Con eso, los atacantes hab\u00edan instalado un shell web, que luego pod\u00edan usar para iniciar sesi\u00f3n y tomar el control del servidor.<\/p>\n<p>Zimbra a\u00fan no ha lanzado un parche que solucione la vulnerabilidad.  En cambio, la compa\u00f1\u00eda public\u00f3 esta gu\u00eda que aconseja a los clientes que se aseguren de instalar un archivador de archivos conocido como pax.  A menos que se instale pax, Amavis procesa los archivos adjuntos entrantes con cpio, un archivador alternativo que tiene vulnerabilidades conocidas que nunca se solucionaron.<\/p>\n<p>\u00abSi el paquete pax no est\u00e1 instalado, Amavis volver\u00e1 a usar cpio\u00bb, escribi\u00f3 Barry de Graaff, empleado de Zimbra.  \u00abDesafortunadamente, el respaldo est\u00e1 mal implementado (por Amavis) y permitir\u00e1 que un atacante no autenticado cree y sobrescriba archivos en el servidor Zimbra, incluida la ra\u00edz web de Zimbra\u00bb.<\/p>\n<p>La publicaci\u00f3n continu\u00f3 explicando c\u00f3mo instalar pax.  La utilidad viene cargada de forma predeterminada en las distribuciones Ubuntu de Linux, pero debe instalarse manualmente en la mayor\u00eda de las dem\u00e1s distribuciones.  La vulnerabilidad de Zimbra se rastrea como CVE-2022-41352.<\/p>\n<p>La vulnerabilidad de d\u00eda cero es un subproducto de CVE-2015-1197, una vulnerabilidad transversal de directorio conocida en cpio.  Los investigadores de la firma de seguridad Rapid7 dijeron recientemente que la falla solo se puede explotar cuando Zimbra u otra aplicaci\u00f3n secundaria usa cpio para extraer archivos que no son de confianza.<\/p>\n<aside class=\"ad_wrapper\" aria-label=\"In Content advertisement\">\n    <span class=\"ad_notice\">Anuncio publicitario <\/span>    <\/p>\n<\/aside>\n<p>El investigador de Rapid7, Ron Bowes, escribi\u00f3:<\/p>\n<blockquote>\n<p>Para aprovechar esta vulnerabilidad, un atacante enviar\u00eda un correo electr\u00f3nico a un <code>.cpio<\/code>, <code>.tar<\/code>o <code>.rpm<\/code> a un servidor afectado.  Cuando Amavis lo inspecciona en busca de malware, utiliza <code>cpio<\/code> para extraer el archivo.  Ya que <code>cpio<\/code> no tiene un modo en el que se pueda usar de forma segura en archivos que no son de confianza, el atacante puede escribir en cualquier ruta del sistema de archivos a la que pueda acceder el usuario de Zimbra.  El resultado m\u00e1s probable es que el atacante plante un shell en la ra\u00edz web para obtener la ejecuci\u00f3n remota del c\u00f3digo, aunque es probable que existan otras v\u00edas.<\/p>\n<\/blockquote>\n<p>Bowes continu\u00f3 aclarando que deben existir dos condiciones para CVE-2022-41352:<\/p>\n<blockquote>\n<ol>\n<li>Una versi\u00f3n vulnerable de <code>cpio<\/code> debe estar instalado, que es el caso en b\u00e1sicamente todos los sistemas (ver CVE-2015-1197)<\/li>\n<li>los <code>pax<\/code> la utilidad debe <strong>no<\/strong> ser instalado, como prefiere Amavis <code>pax<\/code> y <code>pax<\/code> no es vulnerable<\/li>\n<\/ol>\n<\/blockquote>\n<p>Bowes dijo que CVE-2022-41352 es \u00abefectivamente id\u00e9ntico\u00bb a CVE-2022-30333, otra vulnerabilidad de Zimbra que fue objeto de explotaci\u00f3n activa hace dos meses.  Mientras que las vulnerabilidades CVE-2022-41352 usan archivos basados \u200b\u200ben los formatos de compresi\u00f3n cpio y tar, los ataques m\u00e1s antiguos aprovechaban los archivos tar.<\/p>\n<p>En la publicaci\u00f3n del mes pasado, Zimbra&#8217;s de Graaff dijo que la compa\u00f1\u00eda planea hacer pax un requisito de Zimbra.  Eso eliminar\u00e1 la dependencia de cpio.  Sin embargo, mientras tanto, la \u00fanica opci\u00f3n para mitigar la vulnerabilidad es instalar pax y luego reiniciar Zimbra.<\/p>\n<p>Incluso entonces, puede permanecer al menos alg\u00fan riesgo, te\u00f3rico o de otro tipo, advirtieron los investigadores de la firma de seguridad Flashpoint.<\/p>\n<p>\u00abPara las instancias de Zimbra Collaboration, solo se vieron afectados los servidores donde no se instal\u00f3 el paquete &#8216;pax'\u00bb, advirtieron los investigadores de la compa\u00f1\u00eda.  \u00abPero otras aplicaciones tambi\u00e9n pueden usar cpio en Ubuntu. Sin embargo, actualmente no conocemos otros vectores de ataque. Dado que el proveedor ha marcado claramente CVE-2015-1197 en la versi\u00f3n 2.13 como solucionado, las distribuciones de Linux deben manejar con cuidado esos parches de vulnerabilidad, y no solo revertirlos\u00bb.<\/p>\n<\/p><\/div>\n<p><br \/>\n<br \/><a href=\"https:\/\/magazineoffice.com\/\">Source link-49<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Una vulnerabilidad de ejecuci\u00f3n de c\u00f3digo sin parches en el software Zimbra Collaboration est\u00e1 siendo explotada activamente por atacantes que utilizan los ataques a servidores de puerta trasera. Los ataques&hellip;<\/p>\n","protected":false},"author":1,"featured_media":226957,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[21980],"tags":[1089,2668,148,10261,8,5012,22475,9151,5472,2033,1474,15863,54228],"_links":{"self":[{"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/posts\/226956"}],"collection":[{"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/comments?post=226956"}],"version-history":[{"count":1,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/posts\/226956\/revisions"}],"predecessor-version":[{"id":226958,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/posts\/226956\/revisions\/226958"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/media\/226957"}],"wp:attachment":[{"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/media?parent=226956"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/categories?post=226956"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/tags?post=226956"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}