CVE-2023-34192

Falha de Cross-Site Scripting (XSS) armazenado no Zimbra Collaboration Suite (ZCS) 8.8.15, explorável via a função /h/autoSaveDraft, que permite a um atacante autenticado injetar script malicioso capaz de executar no contexto de outro usuário. Está no catálogo KEV da CISA com exploração confirmada, mas o vetor CVSS (PR:L/UI:R) deixa claro que não é um ataque trivial de um clique não-autenticado: exige conta válida no ZCS e interação da vítima.

A vulnerabilidade é uma injeção de XSS armazenado (CWE-79) no fluxo de autosave de rascunhos de e-mail do cliente web Zimbra (Classic Web Client). A função /h/autoSaveDraft recebe conteúdo de rascunho (assunto, corpo, ou campos relacionados) e o persiste sem sanitização adequada contra marcação/script embutido. Quando esse rascunho é posteriormente renderizado — pelo próprio usuário, por outro usuário com acesso ao conteúdo, ou em fluxos administrativos — o payload é executado no contexto da sessão de quem o visualiza.

O vetor CVSS 3.1 (AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H) indica: ataque via rede, complexidade baixa, privilégios baixos necessários (o atacante precisa de credenciais válidas no ZCS), interação do usuário obrigatória (a vítima precisa abrir/visualizar o conteúdo malicioso), e Scope Changed — ou seja, o impacto extrapola o componente vulnerável, afetando confidencialidade, integridade e disponibilidade em outro contexto de segurança (por exemplo, a sessão de um administrador ou de outro usuário com privilégios maiores que o atacante).

O atacante controla o conteúdo do rascunho salvo automaticamente; o mecanismo de sanitização de entrada nesse endpoint específico não filtra corretamente o que é aceito como texto de rascunho versus o que é interpretado como HTML/script executável pelo navegador da vítima quando o draft é reaberto ou renderizado.

Pré-requisito central: o atacante precisa de uma conta autenticada no ZCS 8.8.15 (PR:L) — não é um ataque anônimo pela internet contra qualquer instalação exposta. Com essa conta, ele envia ao endpoint /h/autoSaveDraft um payload de script embutido em campos de rascunho de e-mail. O payload fica armazenado (XSS persistente) até que alguém — a própria vítima, outro usuário que tenha acesso ao rascunho/e-mail, ou um fluxo administrativo que processe esse conteúdo — o visualize, disparando a execução (UI:R).

Como o Scope é Changed, a exploração de maior impacto prático é quando o conteúdo malicioso chega a ser visualizado por uma conta com privilégios superiores (ex.: administrador do domínio), permitindo roubo de token de sessão, alteração de configurações da conta vitimada, ou pivô para funções administrativas do Zimbra — sem precisar de exploit de escalonamento adicional, só do XSS em si combinado com engenharia social ou fluxo automático de leitura de rascunhos/e-mails.

A CISA adicionou a CVE ao catálogo KEV em 25/02/2025 (prazo de correção 18/03/2025), confirmando exploração ativa observada, apesar da publicação original ser de julho de 2023 — sinal de que instalações antigas e não corrigidas de ZCS 8.8.15 continuam sendo alvo bem depois da divulgação inicial. Existe template Nuclei público para detecção/exploração automatizada, o que reduz a barreira técnica para quem já possui uma credencial válida no ambiente-alvo.

O fornecedor (Zimbra/Synacor) trata a correção via patch para a linha ZCS 8.8.15; as fontes consultadas (páginas de Security Center e Security Advisories do wiki oficial) não listam explicitamente o número de patch específico que corrige esta CVE — a tabela de advisories disponível no wiki cobre principalmente versões e patches mais recentes (linha 9.x/10.x em diante), sem constar uma linha dedicada a CVE-2023-34192. Antes de assumir que seu ambiente está corrigido, confirme diretamente no changelog de patches do ZCS 8.8.15 aplicado, ou trate qualquer instância nessa branch como potencialmente vulnerável.

ZCS 8.8.15 está próximo ou já fora do ciclo de suporte mainstream do fornecedor (branches ativas atuais nas fontes são 9.0.x, 10.0.x e 10.1.x); a mitigação mais robusta é migrar para uma versão suportada, que recebe os patches acumulados de XSS e outras falhas listadas no Security Center. Não há indicação, nas fontes revisadas, de uma flag de configuração isolada que desative o endpoint /h/autoSaveDraft sem afetar funcionalidade — tratar isso via WAF (bloqueio ou sanitização de payloads com tags/script no parâmetro de rascunho) é um controle compensatório, não uma correção, e não cobre variações de encoding.

O que NÃO funciona como mitigação suficiente: apenas restringir a criação de contas não resolve, porque o requisito é 'autenticado', não 'administrador' — qualquer usuário comum já atende ao PR:L. Da mesma forma, confiar em políticas de senha forte ou MFA não neutraliza o XSS em si, apenas dificulta a obtenção da conta usada como vetor inicial.

Nos logs de acesso do webmail/proxy, procurar requisições POST para o endpoint /h/autoSaveDraft contendo payloads com tags HTML/script (ex.: , onerror=, onload=, javascript:) em campos de assunto ou corpo de rascunho — esse é o indicador mais direto de tentativa de exploração. Correlacionar com contas de usuário recém-criadas ou comprometidas que geraram esse tráfego, já que o pré-requisito é autenticação.

Como o disparo depende de um segundo evento (visualização do rascunho por uma vítima), também vale monitorar sessões administrativas ou de outros usuários que acessaram conteúdo suspeito pouco depois da submissão do payload, e checar se há execução de JavaScript inesperada ou requisições anômalas originadas do contexto do webmail imediatamente após a abertura de um rascunho. Não há assinatura de rede única e confiável, já que o payload pode ser ofuscado/codificado; a ausência de sinal claro nos logs padrão do Zimbra é, em si, uma limitação real para detecção retroativa.