CVE-2023-37580とは？Synacor Zimbra Collaboration Suite (ZCS)の脆弱性をわかりやすく解説

ひとことでZimbra のウェブメール画面に、悪い命令を仕込まれるおそれがある弱点です。
深刻度6.1 警告CVSS v3.1
まずやることZCS を 8.8.15 Patch 41 以降に更新する

基本情報（データから表示）

CVE番号	CVE-2023-37580
製品	Synacor Zimbra Collaboration Suite (ZCS)
深刻度（CVSS）	6.1 警告CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N`
KEVへの追加日	2023-07-27
米国政府機関の対応期限	2023-08-17
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-79（クロスサイトスクリプティング）

何が起きた

メールなどの共同作業ソフト Zimbra Collaboration Suite（ZCS）の Zimbra Classic Web Client で、クロスサイトスクリプティング（XSS）の弱点が見つかりました。悪用されると、データを盗み見られたり書き換えられたりするおそれがあります。ネットワーク経由で、ログインしていない攻撃者が悪用できますが、被害者がリンクを開くなどの操作をする必要があります。実際の悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Zimbra Collaboration（ZCS）8 を使っている組織が対象です。影響を受けるのは 8.8.15 Patch 41 より前のバージョンです。

何をすればいい

ZCS が 8.8.15 Patch 41 以降に更新されているか確認してください。あわせて、Zimbra の公式の案内（Security Center）を確認してください。知らない相手から届いたリンクは開かないようにしてください。

やることチェックリスト

ZCS を 8.8.15 Patch 41 以降に更新する
今の ZCS のバージョンとパッチを調べる
知らない相手からのリンクを開かないようにする

用語メモ

クロスサイトスクリプティング（XSS）用語集で見る: ウェブページに悪いスクリプト（命令）を紛れ込ませ、見た人のブラウザで動かす攻撃です。
Zimbra Classic Web Client: Zimbra のメールなどをブラウザで使うための、従来型の画面です。

次に読む

同じ製品・メーカーの脆弱性Synacor Zimbra Collaboration Suite (ZCS)（CVE-2026-73570）8.9 重要CVSS v3.1Zimbraで、SNMPの通知を有効にしていると、ログインせずにOSのコマンドを実行される弱点です。同じ製品・メーカーの脆弱性Synacor Zimbra Collaboration Suite (ZCS)（CVE-2025-48700）6.1 警告CVSS v3.1Zimbra のメール画面で、細工したメールを開くと悪い命令が動く弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Synacor Zimbra Collaboration Suite (ZCS) Cross-Site Scripting (XSS) Vulnerability

概要

Synacor Zimbra Collaboration Suite (ZCS) contains a cross-site scripting vulnerability impacting the confidentiality and integrity of data.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る

Synacor Zimbra Collaboration Suite (ZCS) のクロスサイトスクリプティングの脆弱性（CVE-2023-37580）