RECOMENDAÇÃO 38/2022

[TLP:CLEAR]

1. Foi publicada a existência de vulnerabilidade de segurança na solução de E-mail Zimbra, conforme descrito na Common Vulnerabilities and Exposures (CVE) abaixo relacionada:
https://nvd.nist.gov/vuln/detail/CVE-2022-41352

2. A vulnerabilidade ocorre no utilitário CPIO (copy in and out), amplamente utilizado por diversos softwares, como Zimbra Collaboration Suite (ZCS).

3. A exploração da vulnerabilidade por agentes maliciosos permite a execução de códigos remotamente (RCE) no Zimbra Collaboration Suite (ZCS), por meio do mecanismo de antivírus Amavis ao utilizar o CPIO. Uma exploração, se bem-sucedida, permite que um invasor extraia arquivos e sobrescreva áreas do sistema operacional em que o Zimbra tenha permissão, para implementar um web shell e acessar contas de outros usuários.

4. O Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) solicita às instituições da Administração Pública Federal (APF) e orienta as demais entidades/instituições, que identifiquem sistemas vulneráveis sob sua responsabilidade e apliquem com urgência as correções disponibilizadas no site do mantenedor:
https://wiki.zimbra.com/wiki/Security_Center

5. Para os casos em que a atualização do Zimbra não seja imediatamente possível, recomenda-se confirmar se o pacote "pax" está instalado no Sistema Operacional do servidor. Uma vez instalado, este pacote trabalha em conjunto com o antivírus Amavis e mitiga a vulnerabilidade existente no utilitário CPIO. Sugere-se, ainda, adotar as boas práticas recomendadas para a implementação do Zimbra, disponíveis em:
https://wiki.zimbra.com/wiki/Secopstips

6. O CTIR Gov, em atenção ao Decreto 10.748/2021, solicita às entidades responsáveis pelas Equipes de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos Setoriais que orientem a constituency de seus respectivos setores sobre o tratado nesta Recomendação. Reforça também que a participação dos órgãos e das entidades da administração pública federal direta, autárquica e fundacional na Rede Federal de Gestão de Incidentes Cibernéticos é obrigatória. Desta forma, o processo de formalização da adesão deverá ser operacionalizado em linha com tal normativo e com as orientações constantes da página eletrônica do CTIR Gov (https://www.gov.br/ctir/pt-br/assuntos/perguntas-frequentes-decreto-10-748-2021/perguntas-frequentes-sobre-o-decreto-10-748-2021).

7. O CTIR Gov ressalta que, de acordo com os artigos 15 e 17 do Decreto Nº 9.637, de 26 de dezembro de 2018, que institui a Política Nacional de Segurança da Informação, cada órgão é responsável pela proteção cibernética de seus ativos de informação. Referência:
https://www.in.gov.br/materia/-/asset_publisher/Kujrw0TZC2Mb/content/id/56970098/do1-2018-12-27-decreto-n-9-637-de-26-de-dezembro-de-2018-56969938

8. Os alertas e recomendações emitidos pelo CTIR Gov podem ser encontrados em:
https://www.gov.br/ctir/pt-br/assuntos/alertas-e-recomendacoes

9. O CTIR Gov adere ao padrão Traffic Light Protocol (TLP), conforme definido pelo Forum of Incident Response and Security Teams (FIRST). Para mais informações, acesse:
https://www.gov.br/ctir/pt-br/assuntos/tlp

Equipe CTIR Gov.

[TLP:CLEAR]