Stored XSS у Zimbra Classic Web Client: патч 10.1.19 вже доступний

Zimbra випустила оновлення Zimbra Collaboration Suite 10.1.19, що усуває вразливість типу stored XSS (збережений міжсайтовий скриптинг) у компоненті Classic Web Client. Спеціально сформований електронний лист дає змогу виконати зловмисний JavaScript-код у контексті сесії користувача під час відкриття повідомлення. Успішна експлуатація може призвести до доступу до вмісту поштової скриньки, даних сесії та налаштувань облікового запису. Усім організаціям, що використовують Zimbra з Classic Web Client, рекомендується невідкладно оновитися до версії 10.1.19.

Технічні деталі вразливості

Згідно з офіційним блогом Zimbra, вразливість пов’язана з недостатньою валідацією та екрануванням вхідних даних під час обробки вмісту електронних листів у Classic Web Client. Зловмисник може вбудувати шкідливий скрипт у тіло листа, який зберігається на сервері та виконується щоразу, коли жертва відкриває це повідомлення.

Ключові характеристики вразливості:

• Тип: Stored (persistent) XSS — зловмисний код зберігається на сервері
• Вектор атаки: спеціально сформований електронний лист
• Уражений компонент: Zimbra Classic Web Client
• Ідентифікатор CVE: на момент публікації не присвоєний
• Статус експлуатації: невідомий — вендор не повідомляє про активну експлуатацію
• Виправлення: Zimbra Collaboration Suite 10.1.19

Варто уточнити контекст: stored XSS забезпечує виконання скриптів у браузері користувача, а не довільного коду на рівні операційної системи сервера чи робочої станції. Проте наслідки можуть бути серйозними — перехоплення сесії, викрадення облікових даних і повна компрометація поштового облікового запису. Докладні відомості про виправлення доступні в замітках до релізу 10.1.19.

Історичний контекст: XSS як системна проблема Zimbra

Stored XSS-вразливості в Zimbra — це не поодинокий інцидент, а стійкий патерн. Classic Web Client неодноразово ставав вектором атак:

• CVE-2025-27915 (CVSS: 5.4) — аналогічна stored XSS-вразливість у Classic Web Client, інформація про яку доступна в базі NVD. З’являлися повідомлення про її ймовірну експлуатацію як вразливості нульового дня в атаках на бразильські військові структури, однак Zimbra заявила про відсутність підтверджувальних доказів.
• CVE-2023-37580 та CVE-2024-27443 — XSS-вразливості, які, за наявними даними, експлуатувалися зловмисниками в реальних атаках.

Повторюваність однотипних вразливостей в одному й тому самому компоненті вказує на архітектурні обмеження Classic Web Client щодо обробки ненадійного вмісту. Для зловмисників поштові XSS-вразливості особливо привабливі: вектор доставки — звичайний лист, а експлуатація не вимагає від жертви жодних дій, окрім відкриття повідомлення.

Оцінка впливу

Zimbra Collaboration Suite широко використовується в державних установах, освітніх організаціях і компаніях середнього бізнесу по всьому світу. Stored XSS через електронну пошту становить особливу небезпеку з кількох причин:

• Нульова взаємодія: жертві достатньо відкрити лист — не потрібно переходити за посиланнями чи завантажувати вкладення
• Масштабованість: один шкідливий лист може бути розісланий багатьом користувачам організації
• Персистентність: зловмисний скрипт зберігається на сервері та спрацьовує під час кожного перегляду листа
• Ланцюжок атак: захоплення сесії адміністратора може призвести до компрометації всієї поштової інфраструктури

Рекомендації

1. Оновіть Zimbra Collaboration Suite до версії 10.1.19 — це основний захід для усунення вразливості.
2. Розгляньте міграцію з Classic Web Client на сучасний вебклієнт Zimbra. Classic Web Client систематично виявляється вразливим компонентом, і відмова від нього зменшує площу атаки.
3. Перевірте журнали доступу на предмет аномальної активності в сесіях користувачів — особливо масових звернень до адресних книг, пересилання листів на зовнішні адреси або змін налаштувань облікових записів.
4. Упровадьте Content Security Policy (CSP) на рівні вебсервера, якщо це ще не зроблено, щоб обмежити виконання вбудованих скриптів.
5. Пріоритет оновлення: високий. Попри відсутність підтвердженої експлуатації наразі, історія Zimbra показує, що XSS-вразливості в цьому продукті швидко привертають увагу зловмисників.

З огляду на стійку історію експлуатації XSS-вразливостей у Zimbra та тривіальність вектора атаки через електронну пошту, відкладати встановлення патча 10.1.19 недоцільно. Організаціям, які й надалі використовують Classic Web Client, варто паралельно оцінити можливість переходу на сучасний інтерфейс — це найефективніший спосіб виключити цілий клас повторюваних вразливостей.