Suivi KEV › Synacor

CVE-2022-37042 Synacor, Zimbra Collaboration Suite (ZCS) : contournement de l'authentification

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 11 août 2022.

  • Produit : Synacor Zimbra Collaboration Suite (ZCS)
  • Ajoutée au catalogue : 11 août 2022
  • Échéance CISA : 1 septembre 2022
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-23
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 92 %

Synacor Zimbra Collaboration Suite (ZCS) contient une vulnérabilité de contournement de l'authentification dans MailboxImportServlet. Cette vulnérabilité a été chaînée avec CVE-2022-27925, ce qui permet une exécution de code à distance non authentifiée.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · blog.zimbra.com

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : 92,1 %, parmi les 0,2 % de CVE les plus susceptibles d’être exploitées
  • Code d’exploitation public : signalé par la NVD.

Versions concernées

  • zimbra collaboration suite : 61 versions, de 8.8.15 à 9.0.0-p9

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Limitation inappropriée d'un chemin d'accès à un répertoire restreint (CWE-22) : Le produit utilise une entrée externe pour construire un chemin d'accès destiné à identifier un fichier ou un répertoire situé sous un répertoire parent restreint, mais le produit ne neutralise pas correctement les éléments spéciaux dans le chemin d'accès qui pourraient faire en sorte que celui-ci se résolve à un emplacement en dehors du répertoire restreint.

Chronologie

  1. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  2. — Publication de la CVE
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Synacor Zimbra Collaboration Suite (ZCS) Authentication Bypass Vulnerability

Synacor Zimbra Collaboration Suite (ZCS) contains an authentication bypass vulnerability in MailboxImportServlet. This vulnerability was chained with CVE-2022-27925 which allows for unauthenticated remote code execution.

Required action: Apply updates per vendor instructions.

Autres failles exploitées de Synacor Zimbra Collaboration Suite (ZCS)

  • CVE-2026-73570 — Synacor, Zimbra Collaboration Suite (ZCS) : injection de commandes système (21 août 2026)
  • CVE-2025-48700 — Synacor, Zimbra Collaboration Suite (ZCS) : vulnérabilité cross-site scripting (20 avril 2026)
  • CVE-2025-66376 — Synacor, Zimbra Collaboration Suite (ZCS) : vulnérabilité cross-site scripting (18 mars 2026)
  • CVE-2025-27915 — Synacor, Zimbra Collaboration Suite (ZCS) : vulnérabilité cross-site scripting (7 octobre 2025)
  • CVE-2019-9621 — Synacor, Zimbra Collaboration Suite (ZCS) : vulnérabilité de falsification de requêtes côté serveur (SSRF) (7 juillet 2025)
  • CVE-2024-27443 — Synacor, Zimbra Collaboration Suite (ZCS) : vulnérabilité cross-site scripting (XSS) (19 mai 2025)
  • CVE-2023-34192 — Synacor Zimbra Collaboration Suite (ZCS) : vulnérabilité cross-site scripting (XSS) (25 février 2025)
  • CVE-2024-45519 — Synacor Zimbra Collaboration Suite (ZCS) : exécution de commandes (3 octobre 2024)
  • CVE-2023-37580 — Synacor Zimbra Collaboration Suite (ZCS) : vulnérabilité cross-site scripting (XSS) (27 juillet 2023)
  • CVE-2022-27926 — Synacor Zimbra Collaboration Suite (ZCS) : vulnérabilité cross-site scripting (XSS) (3 avril 2023)

← Toutes les failles Synacor · Suivi KEV