CVE-2022-37042

Falha de bypass de autenticação no MailboxImportServlet (mboximport) do Zimbra Collaboration Suite (ZCS) 8.8.15 e 9.0, que permite a um atacante sem qualquer credencial enviar um arquivo ZIP malicioso e gravá-lo em qualquer caminho do sistema de arquivos via directory traversal, resultando em execução remota de código. É a correção incompleta da CVE-2022-27925: quem aplicou apenas aquele patch continua exposto, porque o atacante simplesmente omite o token de autenticação em vez de falsificá-lo.

O MailboxImportServlet expõe a funcionalidade mboximport, usada para importar backups/mailboxes em formato ZIP/TGZ para uma conta. Ao processar o arquivo, o servlet extrai cada entrada do ZIP e grava no disco usando o nome de arquivo contido no próprio ZIP, sem sanitizar sequências '../' — trata-se de uma path traversal clássica (CWE-23, Relative Path Traversal). Como o servlet escreve com os privilégios do processo Zimbra (usuário zimbra), um nome de entrada malicioso pode apontar para dentro dos diretórios web (webapps) do servidor de aplicação, permitindo depositar um arquivo JSP.

O vetor é uma requisição HTTP direta ao endpoint mboximport/MailboxImportServlet contendo um ZIP com um nome de entrada manipulado para escapar do diretório de destino esperado. O ponto crítico da CVE-2022-37042 é que a validação de autenticação adicionada para corrigir a CVE-2022-27925 checava a presença/validade de um cookie/token de autenticação, mas o caminho de código não tratava corretamente a ausência total desse token — bastava não enviar cookie de autenticação (requisição totalmente não autenticada) para pular a checagem e chegar direto na rotina de extração vulnerável. Não há pré-requisito de conta válida, configuração não padrão ou interação do usuário: é acessível pela rede a qualquer instância exposta, o que explica o CVSS 9.8 (AV:N/AC:L/PR:N/UI:N). A exploração final normalmente deposita uma webshell JSP dentro do diretório público do servidor de aplicação Zimbra; ao acessar esse arquivo via navegador, o atacante obtém execução de comando com os privilégios do serviço Zimbra. A CISA confirma exploração ativa no KEV (chained com CVE-2022-27925) e associa a campanhas contra organizações governamentais logo após a divulgação da falha original; a vulnerabilidade tem módulo Metasploit, template Nuclei e PoC pública, o que reduz drasticamente a barreira técnica para exploração em massa.

A remediação oficial é aplicar o patch do fornecedor que corrige especificamente esta falha (fix de continuidade da CVE-2022-27925), publicado no blog de segurança da Zimbra em agosto de 2022. Instalações que aplicaram somente a correção original da CVE-2022-27925 permanecem vulneráveis — verificar a versão exata do patch instalado, não apenas se 'já foi corrigida a CVE-2022-27925'. Ramos não suportados (versões anteriores a 8.8.15) não recebem patch para esta falha; a única mitigação real nesses casos é migrar para uma versão suportada.

Procurar em logs de acesso HTTP requisições POST ao endpoint de mboximport/MailboxImportServlet (padrão de URL de importação de mailbox, parâmetros de formato como zip/tgz) sem cookie de autenticação (ZM_AUTH_TOKEN) — é justamente a ausência do token, e não um token forjado, o indicador-chave desta variante. Verificar também a criação inesperada de arquivos .jsp em diretórios de webapps do Zimbra (fora do padrão de deployment) com timestamps fora de janelas de manutenção, e erros/exceções relacionados a extração de ZIP no mailbox.log. Como a exploração não deixa rastro de autenticação bem-sucedida ou falha (não há tentativa de login), assinaturas baseadas em falhas de auth não detectam o ataque — o sinal mais confiável é a presença de arquivos novos e inesperados na árvore web após uma requisição ao endpoint de import.