Schwachstelle in Synacor Zimbra Collaboration Suite: weltweit 129.131 Instanzen potenziell betroffen

Eine Analyse von Censys, einem der führenden Anbieter von Tools für Threat Intelligence, Threat Hunting und Attack Surface Management, hat ergeben, dass eine Cross-Site Scripting (XSS)-Schwachstelle in den Versionen 9.0 und 10.0 der Zimbra Collaboration Suite potenziell bis zu 129.131 Instanzen weltweit betrifft. Die Schwachstelle besteht in der Funktion CalendarInvite der klassischen Benutzeroberfläche. Angreifer können dies mit einer E-Mail ausnutzen, die einen manipulierten Kalender-Header mit einer eingebetteten XSS-Payload enthält. Wenn jemand diese Nachricht in der klassischen Zimbra-Webmail-Benutzeroberfläche öffnet, wird die Payload in der Sitzung des Opfers ausgeführt. Dies führt möglicherweise zur Ausführung von beliebigem JavaScript-Code.

Die Schwachstelle ist seit August 2024 offengelegt und ist seit dem 19. Mai 2025 als aktiv ausgenutzt gemeldet. Kürzlich wurde sie in den KEV-Katalog (Known Exploited Vulnerabilities) der CISA aufgenommen, bislang wurde noch kein öffentliches Proof-of-Concept (POC)-Exploit identifiziert. Die Ausnutzung der Schwachstelle steht möglicherweise in Verbindung mit einer Reihe von Angriffen, die Webmail-Plattformen attackieren, um an Anmeldungsdaten zu gelangen und einen dauerhaften Zugriff auf die Systeme zu ermöglichen. Für die betroffenen Versionen stehen Patches zur Verfügung.

Analyse zeigt weite Verbreitung von möglicherweise betroffenen Instanzen in Europa

Mit den Tools der Plattform von Censys lassen sich weltweit 129.131 exponierte Instanzen der Zimbra Collaboration Suite feststellen, die potenziell für diesen Exploit anfällig sind. Die überwiegende Mehrheit dieser Instanzen wird in einer Cloud-Infrastruktur gehostet, die über eine Vielzahl von Anbietern verteilt ist. Dabei ist kein Anbieter überproportional häufig vertreten. On-Premises wurden 33.614 potenziell betroffene Hosts entdeckt. Diese sind hauptsächlich mit IPs verbunden, die mehrere Hostnamen bedienen. Das deutet auf eine gemeinsam genutzte Infrastruktur hin.

Die Untersuchung von Censys zeigt, dass sich in Europa besonders viele potenziell exponierte Instanzen der Zimbra Collaboration Suite befinden. Von diesen beobachteten Instanzen sind nicht alle auch zwangsläufig anfällig. Ohne Informationen zu den spezifischen Versionen oder der Verwendung der klassischen Benutzeroberfläche können von Censys Instanzen der Zimbra Collaboration Suite entdeckt werden, die möglicherweise von der Schwachstelle betroffen sind.

Weitere Informationen zur Schwachstelle sowie eine Karte der potenziell betroffenen Instanzen finden Sie unter https://censys.com/advisory/cve-2024-27443

  attack-surface-management, cybersecurity-cybersicherheit, it-security, it-sicherheit, threat-hunting, threat-intelligence