CVE-2022-27924

Falha de injeção de comandos memcache (CWE-93/CRLF injection) no componente de proxy do Zimbra Collaboration Suite (ZCS) que permite a um atacante não autenticado sobrescrever entradas arbitrárias no cache memcache usado internamente pelo Zimbra. Importa porque é pré-autenticação, atinge diretamente a superfície de rede exposta do serviço e está confirmada em exploração ativa (KEV da CISA, incluída em agosto de 2022), muitas vezes descrita em conjunto com outras falhas do Zimbra da mesma leva de patches (CVE-2022-27925, CVE-2022-27926) para comprometimento completo.

O Zimbra usa memcache para armazenar em cache dados de roteamento e sessão consultados pelo proxy (nginx) do ZCS. O protocolo memcache é texto puro, delimitado por linha (CRLF). Um parâmetro controlado pelo atacante — repassado pelo proxy até a chamada memcache — não é sanitizado quanto a sequências CRLF, o que permite que o atacante quebre o comando memcache legítimo e injete comandos adicionais no fluxo do protocolo. Isso é classificado pela CISA como CWE-93 (CRLF Injection).

O efeito prático é a sobrescrita de entradas de cache arbitrárias — não uma leitura de dados, mas uma escrita/poisoning. Como o memcache aqui guarda informação usada para decisões de roteamento e sessão dentro da infraestrutura Zimbra, corromper essa informação pode alterar comportamento do sistema (por exemplo, redirecionamento de rotas de e-mail) e, combinada com outras falhas, abrir caminho para escalonamento maior.

A descrição oficial do fornecedor é deliberadamente enxuta: não especifica o parâmetro exato, nem em qual endpoint do proxy a injeção ocorre. As fontes disponíveis (wiki do Zimbra) apenas confirmam que a falha foi corrigida na branch 9.0.0 Patch 24, classificada internamente como 'Memcached poisoning with unauthenticated request' e com rating 'High' — sem detalhar o CVSS oficial do fornecedor na tabela (marcado como 'TBD').

O vetor é de rede, sem autenticação e sem interação do usuário (AV:N/AC:L/PR:N/UI:N), o que a torna atrativa para varredura em massa: basta alcançar o componente de proxy do Zimbra exposto publicamente e enviar uma requisição com o parâmetro vulnerável contendo sequências de controle do protocolo memcache. Não há pré-condição de configuração não padrão conhecida nas fontes disponíveis — a exposição do serviço web/proxy do Zimbra à internet já é suficiente.

O resultado direto é a corrupção de entradas de cache; o valor real de exploração observado em campanhas reportadas publicamente na época veio do encadeamento dessa falha com outras do mesmo lote de patches (como a RCE autenticada via mboximport, CVE-2022-27925), formando uma cadeia de comprometimento total a partir de acesso inicial não autenticado. A CISA confirma exploração ativa ao incluir a CVE no catálogo KEV (adicionada em 04/08/2022, prazo de correção 25/08/2022), mas não classifica a falha como associada a campanhas de ransomware conhecidas.

A correção do fornecedor está na branch 9.0.0 Patch 24 do ZCS, listada na advisory como corrigindo 'Memcached poisoning with unauthenticated request' (CVE-2022-27924). A nota adicional da CISA no KEV referencia especificamente a página de segurança do Patch 24.1, sugerindo que houve um ajuste/hotfix posterior ao Patch 24 relacionado a esta falha — recomenda-se aplicar a versão mais recente disponível na branch 9.0.0, não apenas o Patch 24 isolado. As fontes disponíveis não trazem o número de patch equivalente publicado para a branch 8.8.15, também citada como afetada pela descrição oficial; para essa branch, consulte diretamente o advisory da Synacor/Zimbra.

A ação recomendada pela CISA é genérica: 'aplicar atualizações conforme instruções do fornecedor' — não há flag de configuração, WAF ou desativação de funcionalidade documentada nas fontes consultadas como mitigação alternativa. Isolar ou restringir o acesso de rede ao serviço de proxy Zimbra (reduzindo exposição pública direta) reduz a superfície, mas não corrige a causa raiz e não deve ser tratado como substituto do patch, especialmente considerando que a falha já teve exploração confirmada em campanhas reais.

As fontes consultadas não trazem uma assinatura de log oficial publicada pelo fornecedor para esta CVE especificamente. Como indicador geral, ambientes devem monitorar logs do proxy/nginx do Zimbra e requisições HTTP com sequências de controle CRLF codificadas (ex.: %0d%0a) em parâmetros de rotas de autenticação ou lookup, além de tráfego anômalo direcionado à porta interna do memcache (11211) vindo de fora do host local — esse serviço normalmente não deveria receber conexões de fontes externas ao próprio servidor Zimbra. Na ausência de assinatura confiável documentada pelo fornecedor, a presença de comportamento anômalo de roteamento/sessão após tentativas de acesso não autenticado ao proxy é o sinal indireto mais relevante.