Suivi KEV › Synacor

CVE-2022-41352 Synacor, Zimbra Collaboration Suite (ZCS) : vulnérabilité de téléversement de fichiers arbitraires

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 20 octobre 2022.

  • Produit : Synacor Zimbra Collaboration Suite (ZCS)
  • Ajoutée au catalogue : 20 octobre 2022
  • Échéance CISA : 10 novembre 2022
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-22
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 95 %

Synacor Zimbra Collaboration Suite (ZCS) permet à un attaquant de téléverser des fichiers arbitraires en utilisant le paquet cpio pour obtenir un accès incorrect à tous les autres comptes utilisateurs.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · wiki.zimbra.com

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : 95,5 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
  • Code d’exploitation public : signalé par la NVD.

Versions concernées

  • zimbra collaboration suite : 63 versions, de 9.0.0 à 8.8.15-p9

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Limitation inappropriée d'un chemin d'accès à un répertoire restreint (CWE-22) : Le produit utilise une entrée externe pour construire un chemin d'accès destiné à identifier un fichier ou un répertoire situé sous un répertoire parent restreint, mais le produit ne neutralise pas correctement les éléments spéciaux dans le chemin d'accès qui pourraient faire en sorte que celui-ci se résolve à un emplacement en dehors du répertoire restreint.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Synacor Zimbra Collaboration Suite (ZCS) Arbitrary File Upload Vulnerability

Synacor Zimbra Collaboration Suite (ZCS) allows an attacker to upload arbitrary files using cpio package to gain incorrect access to any other user accounts.

Required action: Apply updates per vendor instructions.

Autres failles exploitées de Synacor Zimbra Collaboration Suite (ZCS)

  • CVE-2026-73570 — Synacor, Zimbra Collaboration Suite (ZCS) : injection de commandes système (21 août 2026)
  • CVE-2025-48700 — Synacor, Zimbra Collaboration Suite (ZCS) : vulnérabilité cross-site scripting (20 avril 2026)
  • CVE-2025-66376 — Synacor, Zimbra Collaboration Suite (ZCS) : vulnérabilité cross-site scripting (18 mars 2026)
  • CVE-2025-27915 — Synacor, Zimbra Collaboration Suite (ZCS) : vulnérabilité cross-site scripting (7 octobre 2025)
  • CVE-2019-9621 — Synacor, Zimbra Collaboration Suite (ZCS) : vulnérabilité de falsification de requêtes côté serveur (SSRF) (7 juillet 2025)
  • CVE-2024-27443 — Synacor, Zimbra Collaboration Suite (ZCS) : vulnérabilité cross-site scripting (XSS) (19 mai 2025)
  • CVE-2023-34192 — Synacor Zimbra Collaboration Suite (ZCS) : vulnérabilité cross-site scripting (XSS) (25 février 2025)
  • CVE-2024-45519 — Synacor Zimbra Collaboration Suite (ZCS) : exécution de commandes (3 octobre 2024)
  • CVE-2023-37580 — Synacor Zimbra Collaboration Suite (ZCS) : vulnérabilité cross-site scripting (XSS) (27 juillet 2023)
  • CVE-2022-27926 — Synacor Zimbra Collaboration Suite (ZCS) : vulnérabilité cross-site scripting (XSS) (3 avril 2023)

← Toutes les failles Synacor · Suivi KEV