תוכנת הדואר שומרת את הטיוטה שאתם מקלידים כל כמה שניות בלי שתבקשו, וזה הרכיב שהחולשה הזאת עוברת דרכו. הרשומה מצביעה על Zimbra Collaboration Suite בגרסה 8.8.15, ועל פונקציה בשם autoSaveDraft שמקבלת את תוכן הטיוטה מהדפדפן ושומרת אותו בשרת. תוקף עם חשבון על אותו שרת יכול להעביר דרכה סקריפט. הציון הוא 9 מתוך 10, והחולשה מנוצלת בפועל.

מה החולשה?

ממשק הדואר הוא אתר, והאתר בונה את מה שאתם רואים מתוך טקסט. חלק מהטקסט הזה מגיע מהמערכת וחלק מגיע ממה שמשתמש הקליד, והדפדפן אינו יודע להבדיל בין השניים. אם בתוך הטקסט יש הוראה שנראית כמו קוד, הדפדפן יריץ אותה, כי מבחינתו היא הגיעה מהאתר עצמו. לכן כל טקסט שמקורו במישהו צריך לעבור ניקוי לפני שמציירים אותו על המסך.

לפי הרשומה, בדרך שעוברת דרך הפונקציה ששומרת טיוטה הניקוי הזה לא נעשה כראוי, וסקריפט שנשלח אליה חוזר בהמשך אל הדפדפן ורץ בו. לתבנית הזאת קוראים Cross Site Scripting, בקיצור XSS, והרשומה מסמנת אותה כ-CWE-79.

שני תנאים בדירוג שווים תשומת לב. הראשון, התוקף צריך חשבון על השרת, כלומר זו אינה חולשה שמישהו מבחוץ מפעיל על תיבה סתם. השני, נדרשת פעולה של המשתמש שנפגע.

מה שהדירוג כן מסמן בבירור הוא שהנזק חורג מהרכיב שבו התחיל. סקריפט שרץ בתוך הסשן של משתמש אחר בממשק הדואר יכול לעשות את מה שאותו משתמש יכול לעשות, ולכן הפגיעה מדורגת גבוהה בסודיות, בשלמות ובזמינות ולא כתקלה בתצוגה. הרשומה עצמה מנסחת את התוצאה כהרצת קוד שרירותי, ניסוח חזק מהמקובל לתיאור של XSS, וכך היא כתובה.

מי מושפע?

הרשומה מונה גרסה אחת: Zimbra Collaboration Suite 8.8.15. היא אינה מציינת גרסה מתוקנת, והמקום שבו Zimbra מפרסמת את מפלסי התיקון שלה הוא מרכז האבטחה של המוצר.

Zimbra היא תוכנת דואר ארגונית שמותקנת על שרת של הארגון עצמו, ולא שירות שמשתמש פרטי נרשם אליו. בישראל היא נמצאת בארגונים שבחרו להחזיק את שרת הדואר שלהם אצלם, ומי שמקבל את הדואר שלו דרך ספק גדול אינו נוגע בזה כלל.

האם מנוצלת בפועל?

כן. ב-25 בפברואר 2025 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, ומועד התיקון שנקבע לרשויות הפדרליות בארצות הברית היה 18 במרץ 2025.

שווה לעמוד על נקודה אחת. הדרישה לחשבון על השרת נשמעת כמו מחסום, ובשרת דואר ארגוני היא מחסום חלש: יש בו חשבונות רבים, ולחלקם אפשר להגיע עם סיסמה שהמשתמש חזר עליה במקום אחר. הקטלוג אינו מפרט איך נוצלה בפועל, אבל התנאי הזה אינו מה שעוצר את הניצול.

מה עושים?

בדקו קודם איזו גרסה ואיזה מפלס תיקון רצים על השרת. הרשומה מצביעה על 8.8.15 כגרסה הפגיעה, ואת מפלסי התיקון Zimbra מפרסמת במרכז האבטחה שלה ובדף הודעות האבטחה. שם, ולא ברשומת ה-NVD, נמצאת התשובה לשאלה אם המפלס שלכם מכיל את התיקון.

התקינו את העדכון לפי ההוראות בדף ההודעה, ואחריו הפעילו מחדש את שירותי Zimbra, אחרת הממשק שנטען בזיכרון נשאר הקודם.

מכיוון שהניצול דורש חשבון על אותו שרת, יש כאן גם עבודה שאינה עדכון: עברו על החשבונות הפעילים, סגרו את אלה שאינם בשימוש, ואפסו סיסמאות של חשבונות שיש חשד שהסיסמה שלהם דלפה.

והשלב הזה אינו רק ניקיון: חשבון פעיל שאיש אינו משתמש בו הוא בדיוק נקודת ההתחלה שהדירוג של החולשה הזאת דורש.