Synacor Zimbra Collaboration Suite (ZCS): uneingeschränkter Dateiupload (CVE-2022-27925)

Was ist betroffen, was ist zu tun

Zimbra Collaboration (alias ZCS) Versionen 8.8.15 und 9.0 verfügen über eine mboximport-Funktionalität, die ein ZIP-Archiv empfängt und Dateien daraus extrahiert. Ein authentifizierter Benutzer mit Administratorrechten kann beliebige Dateien auf das System hochladen, was zu einem Verzeichnis-Traversieren führt.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. CISA führt sie als in Ransomware-Kampagnen genutzte Schwachstelle. Die vorliegenden Quellen nennen keine Fix-Version. Prüfen Sie die Herstellerhinweise in den Referenzen unten. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• Zimbra Collaboration eq 8.8.15..8.8.15
• Zimbra Collaboration eq 9.0.0..9.0.0

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Patch-Stand sofort prüfen und aktualisieren: Auf jedem ZCS-Knoten als Benutzer zimbra zmcontrol -v ausführen. Betroffen sind die Release-Linien 8.8.15 und 9.0. Patch verfügbar beim Hersteller — Version bitte im Vendor-Advisory nachschlagen. Der Patch-Stand muss sowohl CVE-2022-27925 als auch die Authentifizierungsumgehung CVE-2022-37042 schließen. Ein Patch nur gegen CVE-2022-27925 genügt nicht, weil die Kette ohne Anmeldung funktioniert.
   • Kompromittierung vor dem Patchen bewerten: Diese Kette wurde breit und automatisiert ausgenutzt. Ein Patch entfernt bereits abgelegte Webshells nicht. Deshalb find /opt/zimbra/jetty*/webapps/ -name "*.jsp" -newer /opt/zimbra/conf/localconfig.xml ausführen und das Ergebnis gegen eine saubere Referenzinstallation abgleichen. Besonders prüfen: zimbra/public/ und zimbraAdmin/public/jsp/.
   • Endpunkt /service/extension/backup/mboximport extern sperren: Am Reverse-Proxy oder an der WAF alle Anfragen auf diesen Pfad von außen blockieren, solange der Patch nicht eingespielt ist. Die Admin-Konsole (Port 7071) darf nicht aus dem Internet erreichbar sein.
   • Bei Kompromittierungsindikatoren: Server vom Netz isolieren und forensisches Image ziehen (Datenträger und /opt/zimbra/log/). Den Vorfall nach dem NIS2-Meldeweg behandeln: Frühwarnung an das BSI innerhalb von 24 h.
   • Zugangsdaten rotieren (nach Bereinigung oder Neuaufbau): Zimbra-Admin-Konten, LDAP-Passwörter (zmldappasswd), Service-Account-Credentials, TLS-Privatschlüssel und Benutzerpasswörter. Postfachinhalte und Sitzungs-Token gelten als potenziell abgeflossen.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Netzsegmentierung: Die Admin-Konsole (7071) und die Admin-SOAP-Schnittstelle nur aus einem dedizierten Admin-VLAN oder über einen Jump-Host freigeben. Benutzer-Webmail (443) über einen Reverse-Proxy publizieren und /service/extension/backup/ dort explizit verwerfen.
   • WAF/IPS-Regel: Signatur auf uri contains "/service/extension/backup/mboximport" bei HTTP-POST aus nicht vertrauenswürdigen Netzen. Zusätzlich auf Directory-Traversal-Muster (../) in ZIP-Uploads prüfen. Suricata/ET-Open- und Hersteller-IPS-Signaturen für CVE-2022-27925 und CVE-2022-37042 aktivieren.
   • Ausgehenden Verkehr beschränken: Der Mailserver benötigt nur SMTP-Egress zu definierten Relays. Ausgehende HTTP/HTTPS-Verbindungen und Shells zu beliebigen Zielen blockieren. Das erschwert Nachladen und Reverse-Shells.
   • Endpunkthärtung: File-Integrity-Monitoring (AIDE, Wazuh, auditd-Watch) auf /opt/zimbra/jetty*/webapps/ einrichten. Schreibrechte des Jetty-Prozesses auf Webapp-Verzeichnisse prüfen.
   • IAM/Least Privilege: Anzahl globaler Zimbra-Admins minimieren. Für Admin-Zugänge MFA erzwingen, wo verfügbar. Delegierte Admin-Rollen statt globaler Rechte verwenden.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • Webserver-Log (/opt/zimbra/log/access_log.*, Proxy-Logs): POST-Anfragen auf /service/extension/backup/mboximport von externen IP-Adressen, insbesondere ohne vorherige Admin-Anmeldung. Danach GET-Anfragen auf neu auftauchende .jsp-Dateien unter /public/. SPL-Beispiel: index=web uri_path="*/service/extension/backup/mboximport*" method=POST | stats count by src_ip
   • auditd: Watch-Regel -w /opt/zimbra/jetty/webapps/ -p wa -k zimbra_webapp setzen. Alarm bei jeder Datei-Erstellung mit Endung .jsp durch den Benutzer zimbra oder den Java-Prozess.
   • EDR-Prozessherkunft: java (Benutzer zimbra, Jetty/mailboxd) startet sh, bash, curl, wget, python, nc oder base64. Sigma-Struktur: ParentImage|endswith: '/java' UND User: zimbra UND Image|endswith: ['/sh','/bash','/curl','/wget']
   • Zimbra-Anwendungslog (mailbox.log): Einträge zu mboximport-Vorgängen außerhalb geplanter Migrationen und Fehlermeldungen beim ZIP-Entpacken mit Pfadangaben, die .. enthalten.
   • Netzwerktelemetrie (Zeek/Suricata): Neue ausgehende Verbindungen vom Mailserver zu unbekannten Zielen auf Nicht-SMTP-Ports. Ungewöhnlich große ausgehende Datenvolumina, die auf Postfach-Exfiltration hinweisen.

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Zimbra Collaboration (alias ZCS) Versionen 8.8.15 und 9.0 verfügen über eine mboximport-Funktionalität, die ein ZIP-Archiv empfängt und Dateien daraus extrahiert. Ein authentifizierter Benutzer mit Administratorrechten kann beliebige Dateien auf das System hochladen, was zu einem Verzeichnis-Traversieren führt.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: cvelistv5, NVD (NIST), CISA KEV Catalog, CVE.org (MITRE)

Hersteller und Produkte

• Zimbra Zimbra Collaboration

Quellen & Referenzen

• wiki.zimbra.comwiki/Zimbra_Security_Advisoriesx_refsource_MISC
• wiki.zimbra.comwiki/Security_Centerx_refsource_MISC
• wiki.zimbra.comwiki/Zimbra_Releases/9.0.0/P24x_refsource_MISC
• packetstormsecurity.comfiles/168146/Zimbra-Zip-Path-Traversal.htmlx_refsource_MISC
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2022-27925government-resource

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 01.10.2026Eintrag geändertMITRE

   Neue Referenzen:

   • http://packetstormsecurity.com/files/168146/Zimbra-Zip-Path-Traversal.html
   • https://wiki.zimbra.com/wiki/Security_Center
   • https://wiki.zimbra.com/wiki/Zimbra_Releases/9.0.0/P24
   • https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories
   12 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Referenz	ergänzt	—	http://packetstormsecurity.com/files/168146/Zimbra-Zip-Path-Traversal.html
   Referenz	ergänzt	—	https://wiki.zimbra.com/wiki/Security_Center
   Referenz	ergänzt	—	https://wiki.zimbra.com/wiki/Zimbra_Releases/9.0.0/P24
   Referenz	ergänzt	—	https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories
   Referenz	entfernt	http://packetstormsecurity.com/files/168146/Zimbra-Zip-Path-Traversal.html	—
   Referenz	entfernt	https://wiki.zimbra.com/wiki/Security_Center	—
   Referenz	entfernt	https://wiki.zimbra.com/wiki/Zimbra_Releases/9.0.0/P24	—
   Referenz	entfernt	https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories	—
   Referenztyp	entfernt	http://packetstormsecurity.com/files/168146/Zimbra-Zip-Path-Traversal.html Types: Exploit, Third Party Advisory, VDB Entry	—
   Referenztyp	entfernt	https://wiki.zimbra.com/wiki/Security_Center Types: Vendor Advisory	—
   Referenztyp	entfernt	https://wiki.zimbra.com/wiki/Zimbra_Releases/9.0.0/P24 Types: Release Notes, Vendor Advisory	—
   Referenztyp	entfernt	https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories Types: Vendor Advisory	—

   Kennung der Quelle: cve@mitre.org

2. 01.10.2026Eintrag geändertCISA ADP

   CISA-Einschätzung (SSVC): Ausnutzung: aktiv, automatisierbar: ja

   Neue Referenzen:

   • https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-27925
   5 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Referenz	ergänzt	—	https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-27925
   Referenz	entfernt	https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-27925	—
   Referenztyp	entfernt	https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-27925 Types: US Government Resource	—
   SSVC-Einschätzung	entfernt	{"id":"CVE-2022-27925","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2022-08-10T00:00:00+00:00"}	—
   SSVC-Einschätzung	ergänzt	—	{"id":"CVE-2022-27925","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-08-04T03:55:47.116222Z"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

3. 01.10.2026Eintrag geändertCVE Program

   Neue Referenzen:

   • http://packetstormsecurity.com/files/168146/Zimbra-Zip-Path-Traversal.html
   • https://wiki.zimbra.com/wiki/Security_Center
   • https://wiki.zimbra.com/wiki/Zimbra_Releases/9.0.0/P24
   • https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories
   12 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Referenz	ergänzt	—	http://packetstormsecurity.com/files/168146/Zimbra-Zip-Path-Traversal.html
   Referenz	ergänzt	—	https://wiki.zimbra.com/wiki/Security_Center
   Referenz	ergänzt	—	https://wiki.zimbra.com/wiki/Zimbra_Releases/9.0.0/P24
   Referenz	ergänzt	—	https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories
   Referenz	entfernt	http://packetstormsecurity.com/files/168146/Zimbra-Zip-Path-Traversal.html	—
   Referenz	entfernt	https://wiki.zimbra.com/wiki/Security_Center	—
   Referenz	entfernt	https://wiki.zimbra.com/wiki/Zimbra_Releases/9.0.0/P24	—
   Referenz	entfernt	https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories	—
   Referenztyp	entfernt	http://packetstormsecurity.com/files/168146/Zimbra-Zip-Path-Traversal.html Types: Exploit, Third Party Advisory, VDB Entry	—
   Referenztyp	entfernt	https://wiki.zimbra.com/wiki/Security_Center Types: Vendor Advisory	—
   Referenztyp	entfernt	https://wiki.zimbra.com/wiki/Zimbra_Releases/9.0.0/P24 Types: Release Notes, Vendor Advisory	—
   Referenztyp	entfernt	https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories Types: Vendor Advisory	—

   Kennung der Quelle: af854a3a-2127-422b-91ae-364da2661108