CVE-2025-68645

Inclusion de Fichiers Locaux dans Zimbra Collaboration (ZCS)

Une vulnérabilité d’Inclusion de Fichiers Locaux (LFI) a été identifiée dans l’interface Webmail Classic de Zimbra Collaboration (ZCS) versions 10.0 et 10.1.

Points Clés :

• La faille réside dans la mauvaise gestion des paramètres de requête fournis par l’utilisateur au niveau du servlet RestFilter.
• Un attaquant distant non authentifié peut exploiter cette faille.

Vulnérabilité :

• Nom : CVE-2025-68645
• Type : Local File Inclusion (LFI)
• Produit affecté : Zimbra Collaboration (ZCS) versions 10.0 et 10.1 (Webmail Classic UI)
• Exploitation : Via des requêtes spécialement conçues à l’endpoint /h/rest, permettant d’influencer le dispatching des requêtes internes et d’inclure des fichiers arbitraires du répertoire WebRoot.

Recommandations :

Bien que l’article ne fournisse pas explicitement de recommandations, les vulnérabilités LFI nécessitent généralement :

• La mise à jour du logiciel vers une version corrigée dès sa publication par le fournisseur.
• Une surveillance attentive des journaux pour détecter toute activité suspecte liée aux requêtes sur l’endpoint /h/rest.
• La mise en place de mesures de sécurité supplémentaires au niveau du pare-feu ou du serveur web pour restreindre l’accès à cet endpoint si nécessaire.

Source