Vulnérabilité critique affectant Zimbra
Une vulnérabilité critique affectant Zimbra permettrait à un acteur malveillant non authentifié d'exécuter des commandes arbitraires à distance sur les systèmes affectés.
Description
Contexte technique et détails de la vulnérabilité
Zimbra est une solution de messagerie et une plateforme collaborative permettant de gérer courriels, calendriers et contacts. Ce produit est affecté par une vulnérabilité libellée CVE-2026-93643, résultant de l'abus de champs de support non signés pour effectuer des écritures par traversée de répertoires. Son exploitation permettrait à un attaquant non authentifié ayant accès à un document public Briefcase pris en charge d'effectuer des écritures par traversée de répertoires et d'exécuter des commandes en tant qu'utilisateur zimbra. Elle est classée critique avec un score de sévérité de 9.8 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code arbitraire à distance ;
- Atteinte à l'intégrité du système ;
- Atteinte à la confidentialité et à la disponibilité des données.
Systèmes affectés
Produits, composants et versions concernés
- Toutes les versions de Zimbra sur lesquelles OnlyOffice/Document Editing est activé ;
- Zimbra Collaboration Suite (ZCS) versions 10.1 antérieures à 10.1.21.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Désactiver OnlyOffice/Document Editing s'il n'est pas utilisé ;
- Mettre à jour Zimbra vers la version 10.1.21 ou la dernière version stable disponible.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.