• ひとことでZimbra のメール画面に、添付ファイル経由で不正なスクリプトを埋め込まれる弱点があります。
  • 深刻度6.1 警告CVSS v3.1
  • まずやることZCS を 8.8.7 以降に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2018-6882
製品Synacor Zimbra Collaboration Suite (ZCS)
深刻度（CVSS）6.1 警告CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
KEVへの追加日2022-04-19
米国政府機関の対応期限2022-05-10
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）CWE-79（クロスサイトスクリプティング）

何が起きた

Zimbra Collaboration Suite (ZCS) で、メールの添付ファイルへのリンクを表示する処理に、クロスサイトスクリプティングの弱点が見つかりました。添付ファイルの Content-Location ヘッダーを細工すると、任意の（攻撃者が好きに選べる）スクリプトや HTML を画面に埋め込める可能性があります。CISA は実際の攻撃での悪用を確認しており、ランサムウェアでの悪用も確認済みとしています。NVD によると、ネットワーク経由で権限なしに悪用できますが、被害者がメールを開くなどの操作が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工した添付付きメールを送る → 2. 被害者がメールを開く → 3. 画面に不正なスクリプトが埋め込まれる → 4. 被害者のブラウザでスクリプトが動く1攻撃者が細工した添付付きメールを送る2被害者がメールを開く3画面に不正なスクリプトが埋め込まれる4被害者のブラウザでスクリプトが動く攻撃の流れ: 1. 攻撃者が細工した添付付きメールを送る → 2. 被害者がメールを開く → 3. 画面に不正なスクリプトが埋め込まれる → 4. 被害者のブラウザでスクリプトが動く1攻撃者が細工した添付付きメールを送る2被害者がメールを開く3画面に不正なスクリプトが埋め込まれる4被害者のブラウザでスクリプトが動く攻撃の流れ: 1. 攻撃者が細工した添付付きメールを送る → 2. 被害者がメールを開く → 3. 画面に不正なスクリプトが埋め込まれる → 4. 被害者のブラウザでスクリプトが動く1攻撃者が細工した添付付きメールを送る2被害者がメールを開く3画面に不正なスクリプトが埋め込まれる4被害者のブラウザでスクリプトが動く

誰が影響を受ける

NVD の説明では、ZCS の 8.7 Patch 1 より前と、8.8.x の 8.8.7 より前が影響を受けます。Zimbra の公式のリリース情報では、修正は 8.7.11 Patch 1 と 8.8.7 とされています。

何をすればいい

ZCS が 8.8.7 以降、または 8.7.11 Patch 1 以降になっているか確認してください。NVD の説明と Zimbra のリリース情報で 8.7 系の修正版の書き方が違うため、Zimbra の公式の案内を確認してください。

やることチェックリスト

  • ZCS を 8.8.7 以降に更新する
  • 8.7 系は 8.7.11 Patch 1 以降にする
  • ZCS の今の版番号を調べる

用語メモ

クロスサイトスクリプティング 用語集で見る
ウェブページに不正なスクリプトを紛れ込ませ、見た人のブラウザで動かしてしまう攻撃のことです。
ヘッダー
メールやデータの先頭に付く、送り先や種類などの付帯情報のことです。
ランサムウェア 用語集で見る
データを使えなくして、元に戻す代わりに身代金を要求する悪意のあるプログラムです。

次に読む

同じ製品・メーカーの脆弱性Synacor Zimbra Collaboration Suite (ZCS)（CVE-2026-73570）8.9 重要CVSS v3.1Zimbraで、SNMPの通知を有効にしていると、ログインせずにOSのコマンドを実行される弱点です。同じ製品・メーカーの脆弱性Synacor Zimbra Collaboration Suite (ZCS)（CVE-2025-48700）6.1 警告CVSS v3.1Zimbra のメール画面で、細工したメールを開くと悪い命令が動く弱点です。基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Synacor Zimbra Collaboration Suite (ZCS) Cross-Site Scripting (XSS) Vulnerability

概要

Synacor Zimbra Collaboration Suite (ZCS) contains a cross-site scripting vulnerability that might allow remote attackers to inject arbitrary web script or HTML.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る