• ひとことでZimbra のページに、悪いスクリプトを埋め込まれてしまう弱点です。
  • 深刻度6.1 警告CVSS v3.1
  • まずやることZimbra を 9.0.0 P24 か 8.8.15 Patch 31 以降にする

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2022-27926
製品Synacor Zimbra Collaboration Suite (ZCS)
深刻度（CVSS）6.1 警告CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
KEVへの追加日2023-04-03
米国政府機関の対応期限2023-04-24
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-79（クロスサイトスクリプティング）
CWE-138

何が起きた

Synacor の Zimbra Collaboration Suite (ZCS) で、あるページ（/public/launchNewWindow.jsp）が受け取ったパラメーターを無害にする処理をせずに使ってしまう、クロスサイトスクリプティング（XSS）の弱点が見つかりました。ログインしていない攻撃者が、ネットワーク経由で悪用できますが、被害者が細工されたリンクを開くなどの操作が必要です。CISA の一覧に載っており、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工したリンクを用意する → 2. 被害者がそのリンクを開く → 3. パラメーターが無害化されずに使われる → 4. 被害者のブラウザーでスクリプトが動く1攻撃者が細工したリンクを用意する2被害者がそのリンクを開く3パラメーターが無害化されずに使われる4被害者のブラウザーでスクリプトが動く攻撃の流れ: 1. 攻撃者が細工したリンクを用意する → 2. 被害者がそのリンクを開く → 3. パラメーターが無害化されずに使われる → 4. 被害者のブラウザーでスクリプトが動く1攻撃者が細工したリンクを用意する2被害者がそのリンクを開く3パラメーターが無害化されずに使われる4被害者のブラウザーでスクリプトが動く攻撃の流れ: 1. 攻撃者が細工したリンクを用意する → 2. 被害者がそのリンクを開く → 3. パラメーターが無害化されずに使われる → 4. 被害者のブラウザーでスクリプトが動く1攻撃者が細工したリンクを用意する2被害者がそのリンクを開く3パラメーターが無害化されずに使われる4被害者のブラウザーでスクリプトが動く

誰が影響を受ける

Zimbra Collaboration Suite (ZCS) を使っている組織と、そのメールを使っている人が対象です。NVD の説明では、Zimbra Collaboration (ZCS) 9.0 が影響を受けるとされています。Zimbra のセキュリティ情報のページでは、8.8.15 Patch 31 の修正の中にもこの弱点が挙がっています。

何をすればいい

Zimbra のリリースノートでは、この弱点は 9.0.0 P24 で修正されています。9.0.0 系は 9.0.0 P24 以降に、8.8.15 系は Zimbra のセキュリティ情報のページにある 8.8.15 Patch 31 以降に更新されているか確認してください。そのほかの点は、Zimbra の公式の案内を確認してください。

やることチェックリスト

  • Zimbra を 9.0.0 P24 か 8.8.15 Patch 31 以降にする
  • 使っている Zimbra の版番号を確かめる
  • 知らない相手からのリンクを開かない

用語メモ

クロスサイトスクリプティング（XSS） 用語集で見る
ウェブページに悪いスクリプトを紛れ込ませて、見た人のブラウザーで動かしてしまう攻撃です。
パラメーター 用語集で見る
ウェブページを開くときに、URL などに付けて送る追加の情報です。
スクリプト 用語集で見る
ブラウザーの中で動く小さなプログラムです。

次に読む

同じ製品・メーカーの脆弱性Synacor Zimbra Collaboration Suite (ZCS)（CVE-2026-73570）8.9 重要CVSS v3.1Zimbraで、SNMPの通知を有効にしていると、ログインせずにOSのコマンドを実行される弱点です。同じ製品・メーカーの脆弱性Synacor Zimbra Collaboration Suite (ZCS)（CVE-2025-48700）6.1 警告CVSS v3.1Zimbra のメール画面で、細工したメールを開くと悪い命令が動く弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Synacor Zimbra Collaboration Suite (ZCS) Cross-Site Scripting (XSS) Vulnerability

概要

Synacor Zimbra Collaboration Suite (ZCS) contains a cross-site scripting vulnerability by allowing an endpoint URL to accept parameters without sanitizing.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る