最近の脆弱性 › CVE-2022-24682

Synacor Zimbra Collaborate Suite (ZCS) のクロスサイトスクリプティングの脆弱性（CVE-2022-24682）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2022-24682
製品	Synacor Zimbra Collaborate Suite (ZCS)
深刻度（CVSS）	6.1 警告CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N`
KEVへの追加日	2022-02-25
米国政府機関の対応期限	2022-03-11
ランサムウェアでの悪用	悪用が確認されている
弱点の種類（CWE）	CWE-79, CWE-116

何が起きた

Zimbra Collaboration Suite のカレンダー機能で、要素の属性の中に入れた JavaScript 入りの HTML がそのまま画面に出てしまう、クロスサイトスクリプティングの弱点が見つかりました。NVD の説明では2021年の終わりごろから実際に悪用されており、ランサムウェアでの悪用も知られています。NVD の評価では、離れた場所から、権限のない攻撃者が悪用できますが、利用者の操作が必要です。Zimbra によると、問題は古い HTML 版の画面（/h/calendar）のカレンダーにあります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Zimbra によると、Zimbra 8.8.15 のすべての版が影響を受けます。9.0.0 は HTML 版の画面がないため影響を受けません。NVD の説明では、8.8.x のうち 8.8.15 patch 30 (update 1) より前が対象です。

何をすればいい

Zimbra は、更新された 8.8.15 Patch 30 を公開し、最新のパッチに更新するよう強く勧めています。公式の案内を確認し、サーバーの zimbra-patch パッケージの版が 8.8.15.1643980846.p30-1 以降になっているか確かめてください。Zimbra は、すべての利用者に最新のリリースを使うよう勧めています。

やることチェックリスト

Zimbra 8.8.15 に更新版の Patch 30 を当てる
zimbra-patch の版が更新後のものか確かめる
Zimbra を最新のリリースに更新する

用語メモ

クロスサイトスクリプティング: ウェブページに攻撃者のスクリプトを紛れ込ませ、見た人のブラウザーで動かす攻撃です。
JavaScript: ウェブページの中で動かせるプログラムの言語です。
パッチ: ソフトの不具合や弱点を直すための修正プログラムです。

元データ（英語・CISA KEV より）

Synacor Zimbra Collaborate Suite (ZCS) Cross-Site Scripting Vulnerability

概要

Synacor Zimbra Collaboration Suite (ZCS) contains a cross-site scripting (XSS) vulnerability in the Calendar feature that allows an attacker to execute arbitrary code.

推奨対応

Apply updates per vendor instructions.