Zimbra Classic Web Clientの保存型XSS脆弱性を修正、セッションハイジャックの恐れ

Daffodil v10.1.19を公開、保存型XSSによるセッション侵害リスクに対応

Zimbraは、Classic Web Clientで確認された保存型クロスサイトスクリプティング（XSS）脆弱性に対応するDaffodil v10.1.19を公開した。本脆弱性を悪用されると、細工されたメールを開いたりプレビューしたりした際に悪意のあるJavaScriptが実行され、セッション情報やメールボックス内のデータが不正に取得される恐れがある。

この脆弱性は、Webメール上で安全性が十分に検証されていないデータがクライアント側で処理されることに起因する。攻撃者は悪意のあるコンテンツを含むメールを送信し、ユーザーが閲覧した際にスクリプトを実行させることで、セッションハイジャックや認証情報の窃取、アカウント侵害を引き起こす可能性がある。また、保存型XSSであるため、一度悪意あるコンテンツが保存されると、対象メールを閲覧するたびに攻撃が成立するリスクがある。

現時点でCVE番号やCVSSスコアは公表されていないが、Zimbraは本更新を重要なセキュリティアップデートとして提供している。zimbra-patchおよびzimbra-mbox-webclient-warパッケージを含むDaffodil v10.1.19への更新を速やかに実施するとともに、Webメールのアクセスログを継続的に監視し、不審なスクリプト実行や異常なアクセスを確認することが推奨される。

また、保存型XSSは過去にも繰り返し悪用されてきた攻撃手法であり、2021年以降も継続的に報告されている。組織はパッチ適用に加え、入力値検証の強化やコードレビューを実施し、同様の脆弱性を未然に防ぐ対策を講じることが重要だ。