流行协作套件 Zimbra Collaboration Suite（ZCS）被曝出两项独立安全漏洞，相关运维人员被敦促立即进行补丁修复。其中危害最严重的漏洞，可让未授权攻击者通过 “经典” 网页邮件界面读取系统内部文件，进而可能将敏感服务器数据暴露至公共互联网。
这两个漏洞的编号分别为 CVE-2025-68645 和 CVE-2025-67809，影响该平台的 10.0 与 10.1 两个版本分支。
本次安全通报的重点漏洞是 CVE-2025-68645，这是一项高危本地文件包含（LFI）漏洞，通用漏洞评分系统（CVSS）得分为 8.8。
该漏洞存在于经典网页邮件界面（Webmail Classic UI）的
RestFilter 服务器小程序中。由于系统对用户请求处理不当，未能对发送至 /h/rest 端点的输入数据进行充分净化。漏洞描述文件中提到：“未授权远程攻击者可构造针对
/h/rest 端点的请求，进而干扰系统内部的请求分发机制。”这一设计缺陷使得攻击者能够诱导服务器读取网站根目录（WebRoot）下的任意文件。由于攻击全程无需身份验证，任何将经典网页邮件界面暴露至公网的服务器，都有可能被自动化扫描工具窃取内部应用文件。
第二项漏洞则是硬编码凭据风险的典型案例。该漏洞编号为 CVE-2025-67809（CVSS 评分 4.7），与 Zimbra 平台中用于对接照片分享服务的 Flickr 集成插件（Flickr Zimlet）相关。
研究人员发现，开发者将 Flickr 应用程序编程接口（API）密钥与密钥密码直接嵌入该插件的代码中，导致这些敏感信息可被公开获取。
美国国家标准与技术研究院（NIST）指出：“由于这些凭据被直接写入插件代码，任何未授权主体都可获取并滥用该 Flickr 集成功能。”
攻击者获取这些密钥后，可伪装成合法的 Zimbra 应用程序，发起有效的开放授权（OAuth）登录流程。一旦诱骗用户批准相关请求，就能未经授权访问该用户在 Flickr 上的私密数据。
目前，软件厂商已撤销存在风险的密钥，并从代码库中移除了硬编码的敏感信息。
Zimbra 官方已发布更新补丁以修复这两个漏洞。运维人员应立即将部署的系统升级至以下版本：
- Zimbra Collaboration 10.1.13
- Zimbra Collaboration 10.0.18
鉴于此次本地文件包含漏洞允许攻击者未经授权发起访问，相关机构应优先进行此次版本更新，以防范伺机而动的威胁行为者发起侦察或数据泄露攻击。
发表评论
您还未登录，请先登录。
登录