Synacor Zimbra Collaboration Suite (ZCS) のクロスサイトスクリプティングの脆弱性（CVE-2025-66376）

何が起きた

Synacor の Zimbra Collaboration Suite（ZCS）の Classic UI に、HTML メールの中の CSS の @import という指定を悪用されて、不正なスクリプトが動いてしまう弱点（クロスサイトスクリプティング）が見つかり、実際に悪用が確認されています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が悪用できますが、利用者の操作（メールを開くなど）が必要とされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Zimbra Collaboration の 10.0 系で 10.0.18 より前、10.1 系で 10.1.13 より前を使っている組織と、その Classic UI でメールを読む利用者が影響を受けます。

何をすればいい

Zimbra の公式の案内を確認し、10.0 系は 10.0.18 以降、10.1 系は 10.1.13 以降に更新してください。古いバージョンのまま動いているサーバーがないか確かめましょう。

やることチェックリスト

• Zimbraのバージョンを確かめる
• 10.0系は10.0.18以降に更新する
• 10.1系は10.1.13以降に更新する

用語メモ

クロスサイトスクリプティング

Web ページに不正なスクリプトを紛れ込ませ、見た人のブラウザーで動かしてしまう弱点です。

CSS

Web ページやメールの文字の色や配置など、見た目を決めるための書き方です。

Classic UI

Zimbra のメール画面のうち、従来からある画面のことです。