ALERTA 15/2024

[TLP:CLEAR]

1.  Foram divulgadas três vulnerabilidades na plataforma Zimbra Collaboration, nas versões 9.0 e 10.0 que permitem a execução de código malicioso e a inclusão local de arquivos.
1.1 A CVE-2024-33533 relata uma vulnerabilidade Cross-Site Scripting Refletido (XSS Refletido) na interface de administração do webmail do Zimbra, conforme publicado em:

• https://nvd.nist.gov/vuln/detail/CVE-2024-33533

1.2 A CVE-2024-33535 envolve Inclusão de Arquivo Local (LFI) em uma aplicação web, impactando especificamente o tratamento do parâmetro “packages”, publicada em:

• https://nvd.nist.gov/vuln/detail/CVE-2024-33535

1.3 A CVE-2024-33536 é relacionada à validação inadequada de entrada do parâmetro “res”, permitindo que um usuário autenticado injete e execute código JavaScript arbitrário no contexto da sessão do navegador de outro usuário, conforme apresentado em:

• https://nvd.nist.gov/vuln/detail/CVE-2024-33536

2.  O Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) solicita às instituições aderentes à Rede Federal de Gestão de Incidentes Cibernéticos (REGIC) e demais entidades/instituições que identifiquem em seus inventários de ativos a existência dos sistemas afetados e apliquem as correções disponibilizadas pelo desenvolvedor, conforme orientações disponíveis em:

• https://wiki.zimbra.com/wiki/Zimbra_Releases/9.0.0/P40#Security_Fixes
• https://wiki.zimbra.com/wiki/Zimbra_Releases/10.0.8#Security_Fixes

3. O CTIR Gov ressalta que, de acordo com os artigos 15 e 17 do Decreto Nº 9.637, de 26 de dezembro de 2018, que institui a Política Nacional de Segurança da Informação, cada órgão é responsável pela proteção cibernética de seus ativos de informação. Referência:

• https://www.in.gov.br/materia/-/asset_publisher/Kujrw0TZC2Mb/content/id/56970098/do1-2018-12-27-decreto-n-9-637-de-26-de-dezembro-de-2018-56969938

4. Informações sobre o Traffic Light Protocol (TLP), conforme definido pelo Forum of Incident Response and Security Teams (FIRST):

• https://www.gov.br/ctir/pt-br/assuntos/tlp

Equipe CTIR Gov.

[TLP:CLEAR]