Vulnerabilidad de explotación de día cero de Log4j

Después de una revisión y prueba intensivas, Zimbra Development determinó que la vulnerabilidad de explotación de día cero para Log4j (CVE-2021-44228) no afecta las versiones de Zimbra compatibles actualmente (9.0.0 y 8.8.15). Zimbra actualmente usa Log4j versión 1.2.16. La causa de la vulnerabilidad se encuentra en la función de expresión de búsqueda en las versiones 2.0 a 2.17 de Log4j.

Aquí hay actualizaciones sobre las vulnerabilidades reportadas:

• CVE-2021-4104: esta vulnerabilidad de Red Hat no afecta a las versiones de Zimbra compatibles actualmente (8.8.15 y 9.0.0). Para que esta vulnerabilidad afecte a Zimbra, necesita JMSAppender y la capacidad de agregar archivos de configuración. Zimbra no utiliza JMSAppender.
• CVE-2022-23307: Zimbra es vulnerable pero no explotable. Para ser explotado, el sistema debe ejecutar Chainsaw. Está incluido pero nunca se ejecuta.
• CVE-2022-23305: Zimbra no es vulnerable a esta vulnerabilidad, ya que no ejecuta JDBCAppender.
• CVE-2022-23302: Zimbra no es vulnerable a esta vulnerabilidad, ya que no ejecuta JMSSink.

Estamos en proceso de actualizar Log4j y esperamos que se complete en el primer trimestre de 2022.

Zimbra 9.0.0 "Kepler" Parche 23

El parche 23 está aquí para la versión GA de Zimbra 9.0.0 "Kepler" e incluye las novedades, los problemas resueltos y los problemas conocidos que se enumeran en las notas de la versión . Consulte las notas de la versión para la instalación de Zimbra 9.0.0 Patch 23 en las plataformas Red Hat y Ubuntu.

Zimbra 8.8.15 "James Prescott Joule" Parche 30

El parche 30 está aquí para la versión GA de Zimbra 8.8.15 "James Prescott Joule", e incluye Novedades, Problemas solucionados y Problemas conocidos que se enumeran en las notas de la versión . Consulte las notas de la versión para la instalación de Zimbra 8.8.15 Patch 30 en las plataformas Red Hat y Ubuntu.

Nota:

• Para Zimbra 8.8.8 y superior, no necesita descargar ninguna compilación de parches. Los paquetes de parches se pueden instalar mediante los comandos de administración de paquetes de Linux.
• No puede volver a la versión anterior de Zimbra después de actualizar al parche.