Zimbra

Zimbraのセキュリティチームは、Zimbra Collaborationスイートへのアクセスに使用される「Classic Web Client」に影響を及ぼす重大な脆弱性について、顧客に対しパッチの適用を強く呼びかけました。

Zimbraは、世界中の数千の企業や数百の政府機関を含む、数億人のユーザーに利用されている非常に人気のあるメールおよびコラボレーションソフトウェアスイートです。「Classic UI」としても知られるこのAjaxベースのウェブメールインターフェースは、大規模なメールフォルダを読み込む際に多くのリソースを必要とするZimbraの最新Webクライアントよりも高速です。

同社は今週火曜日、この保存型クロスサイトスクリプティング（XSS）のセキュリティ欠陥を修正するため、Zimbra 10.1.19をリリースしました。この脆弱性には、追跡を容易にするためのCVE IDがまだ割り当てられていません。攻撃者は、メールを開いた際に悪意のあるコードを実行するように仕組まれた特別に作成されたメールを通じて、このClassic Web Clientのセキュリティ問題を悪用する可能性があります。

image

攻撃が成功した場合、脅威アクターはセッションデータ、アカウント設定、またはメールボックス情報を盗み出すことが可能になる。

「この問題はクラシックWebクライアントのユーザーにのみ影響するため、クラシックWebクライアントをご利用のお客様は、できるだけ早くZCS v10.1.19にアップグレードしてください」とZimbraは警告した。「環境の安全性を維持するため、このバージョンへのアップグレードを強く推奨します。」

Zimbraは現時点で、この脆弱性が実環境で悪用されているとは確認していませんが、この欠陥はGoogleのThreat Analysis Groupによって報告されました。同グループは、野党政治家、反体制派、ジャーナリストなど、高リスクな個人を標的としたサイバー攻撃において、国家支援を受けたハッカー集団によって展開されるゼロデイ攻撃を頻繁に指摘しています。

ロシアの国家系ハッカーによる標的型攻撃

近年、Zimbraのセキュリティ上の脆弱性は、ロシア政府系ハッカーによる攻撃で頻繁に悪用され、数千台の脆弱なサーバーが侵害されてきた。

例えば、ロシアが支援するハッキンググループ「Winter Vivern」は、2023年2月にリフレクテッドXSSエクスプロイトを利用してZimbraのウェブメールポータルに侵入し、政府高官、軍関係者、外交官を含むNATO加盟国に関連する組織や個人から電子メールを盗み出した。

2024年10月、 米国および英国のサイバー機関も、ロシア対外情報局（SVR）に所属するAPT29（別名Midnight BlizzardおよびCozy Bear）のハッカーたちが、過去にメールアカウントの認証情報を窃取するために悪用された脆弱性を標的としたエクスプロイトを用いて、「大規模に」脆弱なZimbraサーバーを標的にしていると警告した。

さらに最近では、3月に、 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、ウクライナ政府機関を標的とした攻撃において、APT28グループ（ロシアの軍事情報機関と関連）に結びつくハッカーによって悪用された別のZimbraのXSS脆弱性（CVE-2025-66376）に対するパッチ適用を連邦機関に命じた。

4月には、非営利のセキュリティ組織Shadowserverが、オンライン上に公開されている10,500件以上のZimbra Collaboration Suite（ZCS）インスタンスが、別のクロスサイトスクリプティング（XSS）のセキュリティ脆弱性（CVE-2025-48700として追跡）を悪用した継続的な攻撃に対して依然として脆弱であるとの警告を発した。