Zimbraは月曜日、6月下旬に公表されたコマンドインジェクションの不具合を含む、複数の深刻な脆弱性に対するパッチを発表しました。
この深刻なコマンドインジェクションの問題は、SNMP通知が有効になっており、統合型のSwatchdogサービスが稼働している場合に、コラボレーションスイートのSNMP監視コンポーネントに影響を及ぼします。
認証を経ていない攻撃者が細工したペイロードを送信することで、バックグラウンドで任意のOSコマンドを実行し、メールサーバーを侵害できる可能性があります。
Zimbra Collaboration Suite(ZCS)バージョン10.1.20には、この不具合に対する恒久的な修正が含まれています。
今回のアップデートでは、Classic Web Client(Classic UI)における4件のクロスサイトスクリプティング(XSS)の欠陥も修正されました。これらは特定の条件下でスクリプト実行につながる恐れがあり、悪意のある添付ファイル名、細工されたフィールド、細工された添付ファイルを介して悪用され得るものです。
また、CVE-2026-50055(メール転送制限の回避)も解消されています。これは、メール転送制限が有効になっている場合でも、認証済みの攻撃者がメールを窃取できてしまう脆弱性です。
さらに、EWS拡張機能におけるアクセス制御の脆弱性(CVE-2026-10631)、メールボックス委任における認可の問題(CVE-2026-50054)、Nextcloud連携機能におけるサーバーサイドリクエストフォージェリ(SSRF)の不具合も修正されました。
Zimbraはこれらのセキュリティ上の欠陥について、これ以上の詳細な情報開示を控えていますが、ユーザーに対しできるだけ早くZCS 10.1.20へアップデートするよう呼びかけています。ただし、これらの問題のいずれかが実際に悪用されているという言及はありません。
今回の新たなセキュリティアップデートは、Zimbraがメールを開いた際にコード実行につながりかねないClassic Web Clientの深刻なXSSセキュリティ上の不具合を修正してから、およそ2週間後に公開されたものです。
翻訳元: https://www.securityweek.com/zimbra-update-patches-critical-vulnerabilities/
