国家支援型APTの標的となることが多い人気のメールおよびコラボレーションスイートについて、管理者は可能な限り早急なアップグレードが求められています。
ビジネス向けメール・コラボレーションスイートのZimbraに、重大なセキュリティアップデートが公開されました。攻撃者がサーバー上や利用者のブラウザ上で悪意のあるコードを実行できてしまう複数の深刻な問題が修正されています。
商用版とオープンソース版の両方が提供されているZimbra Collaboration Suiteは、自社ホスト型のMicrosoft Exchange代替製品として、企業や政府機関、教育機関で広く利用されています。そのため、これまでも攻撃者に狙われてきました。
今週リリースされたバージョン10.1.20では、9件の脆弱性に対するパッチが提供されています。その中には、6月に公表されたSNMP監視コンポーネントの重大な欠陥に対する恒久的な修正も含まれています。この欠陥は、通知機能が有効になっている場合にコマンドインジェクションが可能になるというものでした。
今回のリリースでは、Classic Web Clientに存在する4件のクロスサイトスクリプティング(XSS)脆弱性も修正されています。これらは、利用者がWebインターフェース上でメールを閲覧する際に、攻撃者が悪意のあるスクリプトを実行できてしまうというものです。例えば、そのうちの1件は特別に細工された添付ファイル名によって、また別の1件は利用者が添付ファイルをレンダリングした際にトリガーされます。
XSS脆弱性が危険なのは、そのページのコンテキストで利用者のブラウザ上にスクリプトを実行させてしまうためです。これにより、不正なコードは利用者本人と同等の権限を得ることになり、悪意ある操作の実行やデータの窃取、さらにはセッションクッキーの漏えいまで引き起こす可能性があります。
2025年には、Zimbra Classic Web Clientのカレンダーインポート機能に存在するXSS脆弱性(CVE-2025-27915)が、ブラジル軍関係者を標的にした攻撃で悪用されました。この他にも、これまで数多くのZimbraの脆弱性がゼロデイとして悪用されてきた例があり、特にFancy Bear(APT28)、Cozy Bear(APT29)、Winter Vivern(TA473)といったロシアの国家支援型APTグループによる悪用が目立ちます。
直近の事例としては、3月にロシアの脅威アクターがウクライナの重要インフラ機関を標的にした攻撃があります。この攻撃では、既知のZimbraの持続型XSS脆弱性(CVE-2025-66376)を悪用するよう特別に細工されたメールが使用されました。
新たにリリースされたZimbra 10.1.20で修正されたもう一つの脆弱性は、認証済みの攻撃者がメール転送の制限を回避できてしまうというものです。侵害済みアカウントにメール転送ルールを追加することは、たとえアカウントのパスワードが変更されても、長期間にわたって持続的にアクセスを維持し、メールボックスから継続的にメールを窃取するための常套手段です。
今回のリリースでは、EWS拡張機能におけるアクセス制御関連のセキュリティ問題、メールボックスの委任における認可の問題、そしてNextcloud連携機能におけるサーバーサイドリクエストフォージェリ(SSRF)脆弱性も修正されています。Nextcloudは、パブリッククラウドへの依存を避けたい政府機関や公共機関に人気の、もう一つの自社ホスト型コラボレーションスイートです。
なお、今回のリリースはこの7月に入って2回目のZimbraセキュリティアップデートとなります。7月7日にリリースされたバージョン10.1.19でも、Classic Web Clientにおける未公表のセキュリティ問題が修正されていました。この問題は、特別に細工されたメールを利用者が開くことで悪意のあるコードが実行されてしまうというものでした。
Zimbraを所有するSynacorは、環境の安全性を保つために、顧客に対して可能な限り早急に最新バージョンへアップグレードするよう強く推奨しています。今回の脆弱性群はいずれもゼロデイの状態で公表されたものではありませんが、ハッカーグループは既知のZimbraのエクスプロイトを迅速に取り入れてきた実績があります。
