Zimbra устранила хранимую XSS-уязвимость в Classic Web Client — обновление до 10.1.19 обязательно

Zimbra выпустила обновление Zimbra Collaboration Suite 10.1.19, устраняющее уязвимость типа stored XSS (хранимый межсайтовый скриптинг) в компоненте Classic Web Client. Специально сформированное электронное письмо позволяет выполнить вредоносный JavaScript-код в контексте сессии пользователя при открытии сообщения. Успешная эксплуатация может привести к доступу к содержимому почтового ящика, данным сессии и настройкам учётной записи. Всем организациям, использующим Zimbra с Classic Web Client, рекомендуется незамедлительно обновиться до версии 10.1.19.

Технические детали уязвимости

Согласно официальному блогу Zimbra, уязвимость связана с недостаточной валидацией и экранированием входных данных при обработке содержимого электронных писем в Classic Web Client. Атакующий может внедрить вредоносный скрипт в тело письма, который сохраняется на сервере и выполняется каждый раз, когда жертва открывает это сообщение.

Ключевые характеристики уязвимости:

• Тип: Stored (persistent) XSS — вредоносный код сохраняется на сервере
• Вектор атаки: специально сформированное электронное письмо
• Затронутый компонент: Zimbra Classic Web Client
• Идентификатор CVE: на момент публикации не присвоен
• Статус эксплуатации: неизвестен — вендор не сообщает об активной эксплуатации
• Исправление: Zimbra Collaboration Suite 10.1.19

Стоит уточнить контекст: хранимый XSS обеспечивает выполнение скриптов в браузере пользователя, а не произвольного кода на уровне операционной системы сервера или рабочей станции. Тем не менее последствия могут быть серьёзными — перехват сессии, кража учётных данных и полная компрометация почтового аккаунта. Подробности об исправлении доступны в заметках к релизу 10.1.19.

Исторический контекст: XSS как системная проблема Zimbra

Хранимые XSS-уязвимости в Zimbra — не единичный инцидент, а устойчивый паттерн. Classic Web Client неоднократно становился вектором атак:

• CVE-2025-27915 (CVSS: 5.4) — аналогичная хранимая XSS-уязвимость в Classic Web Client, информация о которой доступна в базе NVD. Появлялись сообщения о её предполагаемой эксплуатации как уязвимости нулевого дня в атаках на бразильские военные структуры, однако Zimbra заявила об отсутствии подтверждающих доказательств.
• CVE-2023-37580 и CVE-2024-27443 — XSS-уязвимости, которые, по имеющимся данным, эксплуатировались злоумышленниками в реальных атаках.

Повторяемость однотипных уязвимостей в одном и том же компоненте указывает на архитектурные ограничения Classic Web Client в части обработки ненадёжного контента. Для атакующих почтовые XSS-уязвимости особенно привлекательны: вектор доставки — обычное письмо, а эксплуатация не требует от жертвы никаких действий, кроме открытия сообщения.

Оценка воздействия

Zimbra Collaboration Suite широко используется в государственных учреждениях, образовательных организациях и компаниях среднего бизнеса по всему миру. Хранимый XSS через электронную почту представляет особую опасность по нескольким причинам:

• Нулевое взаимодействие: жертве достаточно открыть письмо — не нужно переходить по ссылкам или скачивать вложения
• Масштабируемость: одно вредоносное письмо может быть разослано множеству пользователей организации
• Постоянство: вредоносный скрипт сохраняется на сервере и срабатывает при каждом просмотре письма
• Цепочка атак: захват сессии администратора может привести к компрометации всей почтовой инфраструктуры

Рекомендации

1. Обновите Zimbra Collaboration Suite до версии 10.1.19 — это основная мера устранения уязвимости.
2. Рассмотрите миграцию с Classic Web Client на современный веб-клиент Zimbra. Classic Web Client систематически оказывается уязвимым компонентом, и отказ от него снижает поверхность атаки.
3. Проверьте журналы доступа на предмет аномальной активности в сессиях пользователей — особенно массовых обращений к адресным книгам, пересылки писем на внешние адреса или изменений настроек учётных записей.
4. Внедрите Content Security Policy (CSP) на уровне веб-сервера, если это ещё не сделано, для ограничения выполнения встроенных скриптов.
5. Приоритет обновления: высокий. Несмотря на отсутствие подтверждённой эксплуатации на данный момент, история Zimbra показывает, что XSS-уязвимости в этом продукте быстро привлекают внимание злоумышленников.

Учитывая устойчивую историю эксплуатации XSS-уязвимостей в Zimbra и тривиальность вектора атаки через электронную почту, откладывать установку патча 10.1.19 нецелесообразно. Организациям, которые продолжают использовать Classic Web Client, стоит параллельно оценить возможность перехода на современный интерфейс — это наиболее эффективный способ исключить целый класс повторяющихся уязвимостей.