最近の脆弱性 › CVE-2019-9621
Synacor Zimbra Collaboration Suite (ZCS) のSSRFの脆弱性（CVE-2019-9621）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2019-9621 |
|---|---|
| 製品 | Synacor Zimbra Collaboration Suite (ZCS) |
| 深刻度（CVSS） | 7.5 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| KEVへの追加日 | 2025-07-07 |
| 米国政府機関の対応期限 | 2025-07-28 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-918, CWE-807 |
何が起きた
メールやスケジュールを共有するソフト Zimbra Collaboration Suite（ZCS）の ProxyServlet という部品に、攻撃者がサーバーを操って、別の場所へ通信させることができる弱点（SSRF）が見つかりました。この弱点は実際の攻撃で悪用されていることが確認されています。NVD の評価では、離れた場所からネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Synacor の Zimbra Collaboration Suite（ZCS）を自分たちのサーバーで動かしている組織が対象です。NVD の説明では、8.6 patch 13 より前、8.7.11 patch 10 より前の 8.7.x、8.8.10 patch 7 より前または 8.8.11 patch 3 より前の 8.8.x が影響を受けるとされています。メーカーの一覧では、修正を含む版は 8.7.11 Patch11、8.8.9 Patch10、8.8.10 Patch8、8.8.11 Patch4、8.8.12 と書かれていて、NVD の説明と少し食い違っています。
何をすればいい
メーカー（Zimbra）の公式の案内を確認し、メーカーの一覧にある修正を含む版（8.7.11 Patch11、8.8.9 Patch10、8.8.10 Patch8、8.8.11 Patch4、8.8.12 など）以降に更新してください。NVD とメーカーで版の書き方が食い違っているので、メーカーの一覧の版を目安にすると安心です。
やることチェックリスト
- ZCS の版とパッチの番号を確かめる
- 8.8.12 など修正を含む版に更新する
- 8.7.x は 8.7.11 Patch11 以降に更新する
用語メモ
- SSRF
- サーバー側リクエストフォージェリの略です。攻撃者がサーバーをだまして、本来アクセスさせたくない場所へ通信させる攻撃です。
- ProxyServlet
- Zimbra の中で、受け取った通信を別の場所へ取り次ぐ役目をする部品の名前です。
元データ（英語・CISA KEV より）
Synacor Zimbra Collaboration Suite (ZCS) Server-Side Request Forgery (SSRF) Vulnerability
概要
Synacor Zimbra Collaboration Suite (ZCS) contains a server-side request forgery (SSRF) vulnerability via the ProxyServlet component.
推奨対応
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.