• ひとことでZimbra のカレンダー機能で、攻撃者のスクリプトが利用者の画面で動く弱点です。
  • 深刻度6.1 警告CVSS v3.1
  • まずやることZimbra 8.8.15 に更新版の Patch 30 を当てる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2022-24682
製品Synacor Zimbra Collaborate Suite (ZCS)
深刻度（CVSS）6.1 警告CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
KEVへの追加日2022-02-25
米国政府機関の対応期限2022-03-11
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）CWE-79（クロスサイトスクリプティング）
CWE-116（出力のエンコード・エスケープの不備）

何が起きた

Zimbra Collaboration Suite のカレンダー機能で、要素の属性の中に入れた JavaScript 入りの HTML がそのまま画面に出てしまう、クロスサイトスクリプティングの弱点が見つかりました。NVD の説明では2021年の終わりごろから実際に悪用されており、ランサムウェアでの悪用も知られています。NVD の評価では、離れた場所から、権限のない攻撃者が悪用できますが、利用者の操作が必要です。Zimbra によると、問題は古い HTML 版の画面（/h/calendar）のカレンダーにあります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が JavaScript 入りの HTML を仕込む → 2. 利用者がカレンダーの画面を開く → 3. HTML がそのまま画面に出る → 4. 攻撃者のスクリプトが利用者の画面で動く1攻撃者が JavaScript 入りの HTML を仕込む2利用者がカレンダーの画面を開く3HTML がそのまま画面に出る4攻撃者のスクリプトが利用者の画面で動く攻撃の流れ: 1. 攻撃者が JavaScript 入りの HTML を仕込む → 2. 利用者がカレンダーの画面を開く → 3. HTML がそのまま画面に出る → 4. 攻撃者のスクリプトが利用者の画面で動く1攻撃者が JavaScript 入りの HTML を仕込む2利用者がカレンダーの画面を開く3HTML がそのまま画面に出る4攻撃者のスクリプトが利用者の画面で動く攻撃の流れ: 1. 攻撃者が JavaScript 入りの HTML を仕込む → 2. 利用者がカレンダーの画面を開く → 3. HTML がそのまま画面に出る → 4. 攻撃者のスクリプトが利用者の画面で動く1攻撃者が JavaScript 入りの HTML を仕込む2利用者がカレンダーの画面を開く3HTML がそのまま画面に出る4攻撃者のスクリプトが利用者の画面で動く

誰が影響を受ける

Zimbra によると、Zimbra 8.8.15 のすべての版が影響を受けます。9.0.0 は HTML 版の画面がないため影響を受けません。NVD の説明では、8.8.x のうち 8.8.15 patch 30 (update 1) より前が対象です。

何をすればいい

Zimbra は、更新された 8.8.15 Patch 30 を公開し、最新のパッチに更新するよう強く勧めています。公式の案内を確認し、サーバーの zimbra-patch パッケージの版が 8.8.15.1643980846.p30-1 以降になっているか確かめてください。Zimbra は、すべての利用者に最新のリリースを使うよう勧めています。

やることチェックリスト

  • Zimbra 8.8.15 に更新版の Patch 30 を当てる
  • zimbra-patch の版が更新後のものか確かめる
  • Zimbra を最新のリリースに更新する

用語メモ

クロスサイトスクリプティング 用語集で見る
ウェブページに攻撃者のスクリプトを紛れ込ませ、見た人のブラウザーで動かす攻撃です。
JavaScript 用語集で見る
ウェブページの中で動かせるプログラムの言語です。
パッチ 用語集で見る
ソフトの不具合や弱点を直すための修正プログラムです。

次に読む

同じ製品・メーカーの脆弱性Synacor Zimbra Collaboration Suite (ZCS)（CVE-2026-73570）8.9 重要CVSS v3.1Zimbraで、SNMPの通知を有効にしていると、ログインせずにOSのコマンドを実行される弱点です。同じ製品・メーカーの脆弱性Synacor Zimbra Collaboration Suite (ZCS)（CVE-2025-48700）6.1 警告CVSS v3.1Zimbra のメール画面で、細工したメールを開くと悪い命令が動く弱点です。基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Synacor Zimbra Collaborate Suite (ZCS) Cross-Site Scripting Vulnerability

概要

Synacor Zimbra Collaboration Suite (ZCS) contains a cross-site scripting (XSS) vulnerability in the Calendar feature that allows an attacker to execute arbitrary code.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る