Synacor Zimbra Collaboration Suite (ZCS) のクロスサイトスクリプティングの脆弱性（CVE-2018-6882）

何が起きた

Zimbra Collaboration Suite (ZCS) で、メールの添付ファイルへのリンクを表示する処理に、クロスサイトスクリプティングの弱点が見つかりました。添付ファイルの Content-Location ヘッダーを細工すると、任意の（攻撃者が好きに選べる）スクリプトや HTML を画面に埋め込める可能性があります。CISA は実際の攻撃での悪用を確認しており、ランサムウェアでの悪用も確認済みとしています。NVD によると、ネットワーク経由で権限なしに悪用できますが、被害者がメールを開くなどの操作が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、ZCS の 8.7 Patch 1 より前と、8.8.x の 8.8.7 より前が影響を受けます。Zimbra の公式のリリース情報では、修正は 8.7.11 Patch 1 と 8.8.7 とされています。

何をすればいい

ZCS が 8.8.7 以降、または 8.7.11 Patch 1 以降になっているか確認してください。NVD の説明と Zimbra のリリース情報で 8.7 系の修正版の書き方が違うため、Zimbra の公式の案内を確認してください。

やることチェックリスト

• ZCS を 8.8.7 以降に更新する
• 8.7 系は 8.7.11 Patch 1 以降にする
• ZCS の今の版番号を調べる

用語メモ

クロスサイトスクリプティング

ウェブページに不正なスクリプトを紛れ込ませ、見た人のブラウザで動かしてしまう攻撃のことです。

ヘッダー

メールやデータの先頭に付く、送り先や種類などの付帯情報のことです。

ランサムウェア

データを使えなくして、元に戻す代わりに身代金を要求する悪意のあるプログラムです。