CVE-2022-27925

Falha de directory traversal (Zip Slip) na funcionalidade mboximport do Zimbra Collaboration Suite (ZCS), que permite a um usuário autenticado com privilégios de administrador enviar um arquivo ZIP malicioso e gravar arquivos fora do diretório de destino esperado, incluindo em locais que resultam em execução remota de código. O CVSS de 7.2 reflete a exigência de privilégio alto (PR:H), mas na prática essa exigência foi contornada em campanhas reais ao encadear a falha com outra vulnerabilidade (CVE-2022-27924, memcached poisoning) que permite capturar credenciais de administrador sem autenticação prévia — por isso a CVE está no catálogo KEV da CISA com exploração confirmada.

A função de importação de mailbox (mboximport) do ZCS recebe um arquivo ZIP enviado pelo administrador e o extrai no sistema de arquivos para restaurar contas ou dados. O processo de extração não valida corretamente os nomes dos caminhos (entries) contidos no ZIP, permitindo sequências como '../' que fazem a extração escrever fora do diretório de destino pretendido — um caso clássico de path traversal em rotina de extração de arquivo compactado (CWE-22), popularmente chamado de 'Zip Slip'.

Formalmente, a exploração exige uma sessão autenticada com privilégios de administrador contra o painel administrativo do Zimbra, que então envia via mboximport um ZIP forjado com entradas de caminho manipuladas para gravar um arquivo (por exemplo, um JSP) dentro de um diretório servido pela aplicação web, obtendo execução de código no contexto do servidor. Pesquisadores documentaram exploração ativa antes da divulgação pública, em que atacantes combinaram essa falha com CVE-2022-27924 (envenenamento de cache memcached não autenticado) para primeiro capturar credenciais de administrador em trânsito e só então usar essas credenciais para o path traversal — efetivamente transformando uma cadeia de duas falhas em um comprometimento pré-autenticação de ponta a ponta. Isso explica por que a CVE está no catálogo KEV mesmo exigindo PR:H isoladamente: o risco real depende do ambiente também estar exposto à falha auxiliar de captura de credenciais, e não apenas desta CVE isolada.

A correção oficial está no ramo 9.0.0 Patch 24 (lançado em 30/03/2022), que trata a sanitização de caminhos na extração do ZIP em mboximport. O advisory do fornecedor também lista correção equivalente para o ramo 8.8.15, mas o patch específico dessa versão não constava nas fontes consultadas — confirme no advisory de segurança oficial do Zimbra a build exata para 8.8.15. Onde a atualização imediata não for viável, restringir e monitorar o acesso ao console administrativo (isolamento de rede, VPN, MFA) reduz a superfície, mas não elimina o risco caso a falha seja encadeada com CVE-2022-27924 para obtenção de credenciais; por isso a mitigação de memcached/HTTP proxy dessa segunda falha deve ser tratada em conjunto. Restringir a funcionalidade de importação de mailbox a administradores estritamente necessários e revisar logs de uso de mboximport não substitui o patch, apenas reduz a janela de exposição.

Procurar nos logs do Zimbra (mailboxd.log e logs de auditoria administrativa) por chamadas à API/endpoint de mboximport contendo entradas de arquivo ZIP com sequências de traversal ('../') ou caminhos absolutos anômalos. Presença de arquivos JSP ou outros executáveis inesperados em diretórios de webapp do Zimbra é indício de exploração bem-sucedida. Como a exploração real documentada frequentemente foi precedida por CVE-2022-27924, correlacionar tentativas de mboximport com atividade suspeita de memcached/proxy no mesmo período aumenta a confiança na detecção; isoladamente, o tráfego de importação de mailbox administrativa legítimo pode mascarar tentativas maliciosas, então não há sinal único e confiável sem essa correlação.