Mobile-Menu

CVE-2024-45519 Sicherheitslücke in Zimbra wird aktiv ausgenutzt

Von Melanie Staudacher 2 min Lesedauer

Anbieter zum Thema

Proofpoint Germany
sysob IT-Distribution GmbH & Co. KG
SEPPmail - Deutschland GmbH
FTAPI Software GmbH

Über gefälschte Gmail-Adressen schleusen Cyberangreifer Schadecode ein und nutzen somit eine Sicherheitslücke im Kollaborationstool Zimbra aus, für die der Patch schon bereitsteht.

Cyberkriminelle nutzen die Schwachstelle CVE-2024-45519 aus, indem sie mithilfe gefälschter Gmail-Adressen Schadcode versenden.(Bild: NicoElNino - stock.adobe.com)
Cyberkriminelle nutzen die Schwachstelle CVE-2024-45519 aus, indem sie mithilfe gefälschter Gmail-Adressen Schadcode versenden.
(Bild: NicoElNino - stock.adobe.com)

Die Analysten des Security-Anbieters Proofpoint verzeichnen seit dem 28. September Cyber-Angriffe auf die Zimbra Collaboration Suite. Dabei wird die Sicherheitslücke CVE-2024-45519 ausgenutzt, die in der Remote-Codeausführung in Mailservern von Zimbra gefunden wurde. Die Schwachstelle hat einen CVSS von 10.0. und ist damit kritisch. Die US-Cyberischerheitsbehörde CISA hatte bereits vor ihr gewarnt, auf der Website des Herstellers selbst findet sich nur ein kurzer Hinweis zu dieser brisanten Zimbra-Sicherheitslücke.

Bei den Angriffen verschicken die Cyberakteure E-Mails, in denen sie das cc-Feld als Wirt für schädlichen Code nutzen. Auf den Zielservern soll dann eine Webshell eingerichtet werden, die Befehle ausführt. Project Discovery analysiert die Zimbra-Schwachstelle und zeigt Hinweise für Exploits auf. Allerdings seien die Angriffe nur erfolgreich, sofern die postjournal-Funktion in Zimbra aktiviert ist.

Einschleusen durch gefälschte Mail-Adressen

Bei den von Proofpoint beobachteten Exploit-Versuchen schickten die Angreifer gefälschte E-Mails, die angeblich von Gmail stammten, an anfällige Zimbra-Server. Die E-Mails enthalten im CC-Feld anstelle normaler E-Mail-Adressen base64-codierten Schadcode. Dieser Code ist so gestaltet, dass Zimbra ihn als Shell-Befehle ausführt, anstatt ihn als normale E-Mail-Adresse zu verarbeiten. Dies könnte dem Angreifer möglicherweise ermöglichen, über speziell gestaltete HTTP-Anfragen remote auf den Server zuzugreifen und Dateien zu ändern, auf vertrauliche Daten zuzugreifen und andere beliebige Befehle auszuführen. Die Angreifer können damit Schadcode auf ein anfälliges System herunterladen und ausführen.

Dem BSI zufolge ist jedoch davon auszugehen, dass auch andere Mail-Anbieter für das Einschleusen von Schadcode missbraucht werden. Dazu käme, dass durch die Veröffentlichung der Schwachstellendetails mit weiteren Attacken der Akteuren zu rechnen sei.

IT-Verantwortliche sollten schnell reagieren und den bereitgestellten Hersteller-Patch installieren, um einer Kompromittierung zuvor zu kommen. Die aktualisierten Versionen von Zimbra sind:

  • 9.0.0 Patch 41
  • 10.0.9
  • 10.1.1
  • 8.8.15 Patch 46

Des Weiteren sollte der postjournal-Dienst deaktiviert werden. Ebenfalls empfiehlt es sich, dafür zu sorgen, dass die Liste vertrauenswürdiger Clients über die mynetworks-Komponente korrekt konfiguriert ist.

Bereits im Oktober 2022 wurde die Zimbra Collaboration Suite Ziel von Cyber-Attacken. Damals nutzten die Akteure eine Schwachstelle aus, um mithilfe manipulierter E-Mails Schreibrechte auf dem Zielsystem zu erlangen und eine Shell zu installieren.

(ID:50191017)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte