Synacor Zimbra Collaboration Suite (ZCS) のクロスサイトスクリプティングの脆弱性（CVE-2023-37580）

何が起きた

メールなどの共同作業ソフト Zimbra Collaboration Suite（ZCS）の Zimbra Classic Web Client で、クロスサイトスクリプティング（XSS）の弱点が見つかりました。悪用されると、データを盗み見られたり書き換えられたりするおそれがあります。ネットワーク経由で、ログインしていない攻撃者が悪用できますが、被害者がリンクを開くなどの操作をする必要があります。実際の悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Zimbra Collaboration（ZCS）8 を使っている組織が対象です。影響を受けるのは 8.8.15 Patch 41 より前のバージョンです。

何をすればいい

ZCS が 8.8.15 Patch 41 以降に更新されているか確認してください。あわせて、Zimbra の公式の案内（Security Center）を確認してください。知らない相手から届いたリンクは開かないようにしてください。

やることチェックリスト

• ZCS を 8.8.15 Patch 41 以降に更新する
• 今の ZCS のバージョンとパッチを調べる
• 知らない相手からのリンクを開かないようにする

用語メモ

クロスサイトスクリプティング（XSS）

ウェブページに悪いスクリプト（命令）を紛れ込ませ、見た人のブラウザで動かす攻撃です。

Zimbra Classic Web Client

Zimbra のメールなどをブラウザで使うための、従来型の画面です。