הנזק כאן אינו נגמר כשסוגרים את הדפדפן. הרשומה מתארת קובץ הזמנה ליומן, מסוג ICS, שמגיע בהודעת דואר רגילה ומכיל בתוכו JavaScript. כשהמשתמש צופה בהודעה בממשק הקלאסי של Zimbra, הקוד רץ בתוך הסשן שלו, ומשם אפשר להגדיר כלל שמעביר את הדואר הנכנס לכתובת של התוקף. הציון הוא 5.4 מתוך 10.

מה החולשה?

הזמנה ליומן היא קובץ טקסט מובנה שתוכנת הדואר מפרסרת ומציגה כפגישה: מי מזמין, מתי, איפה. כדי להציג אותה כמו שצריך, חלק מהשדות מוצגים כ-HTML. מכאן והלאה זה אותו סיפור כמו בכל תוכן שמגיע מבחוץ, וצריך לנקות אותו לפני שמציירים אותו על המסך.

הניקוי כאן לא היה מספיק. לפי הרשומה, הקוד מוסתר במאפיין ontoggle בתוך תגית details, כלומר בתוך רכיב שנפתח ונסגר, והאירוע שמופעל כשהוא משנה מצב הוא שמריץ את הסקריפט. לתבנית הזאת קוראים stored XSS: הקוד אינו מגיע בקישור שצריך ללחוץ עליו, הוא שמור בתוך ההודעה ומחכה שיציגו אותה.

וכאן ההבדל שמצדיק את תשומת הלב, למרות ציון שאינו גבוה. סקריפט שרץ בתיבה יכול לעשות את מה שהמשתמש יכול, ובכלל זה לשנות הגדרות. הרשומה מציינת במפורש הגדרה של כללי דואר שמפנים הודעות לכתובת בשליטת התוקף. כלל כזה נשאר גם אחרי שהסשן נגמר, גם אחרי שהמשתמש החליף סיסמה, וגם אחרי שהשרת עודכן. העדכון סוגר את הכניסה, הוא אינו מנקה את מה שכבר הוגדר.

מי מושפע?

הרשומה מסמנת את Zimbra Collaboration בגרסה 9.0.0, בטווח 10.0.0 עד 10.0.13 ובטווח 10.1.0 עד 10.1.5. הגרסאות הסוגרות הן 10.0.13 ו-10.1.5.

שני תנאים מגבילים כאן: החולשה נמצאת בממשק הקלאסי, והיא דורשת שמשתמש מחובר יציג את ההודעה. על הנייר זו הגבלה, ובפועל שני התנאים מתקיימים כמעט תמיד. הזמנה ליומן היא בדיוק סוג ההודעה שאנשים פותחים בלי לחשוב, כי היא מגיעה מעמיתים כל יום.

האם מנוצלת בפועל?

כן, וכ-0day. המקור שהרשומה מצרפת הוא תיאור של StrikeReady על מתקפה בשטח דרך קובץ ICS, כלומר החולשה נוצלה עוד לפני שהיה לה תיקון.

הרשומה פורסמה ב-NVD ב-12 במרץ 2025, וב-7 באוקטובר 2025 היא נוספה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל. המועד שנקבע לגופים הפדרליים האמריקאיים לסיים את התיקון היה 28 באוקטובר 2025.

מה עושים?

עדכנו לגרסה 10.0.13 או 10.1.5 לפי הענף שלכם. תיקוני האבטחה של שתי הגרסאות מפורטים בהערות השחרור, של 10.0.13 ושל 10.1.5. מי שנמצא על 9.0.0 עומד בפני שאלה רחבה יותר של מסלול שדרוג.

זה החלק שאסור לדלג עליו: עברו על כללי הדואר של המשתמשים וחפשו כללי העברה לכתובות חיצוניות שאיש לא הגדיר. זו בדיוק הפעולה שהחולשה משמשת לה, והיא שורדת את העדכון.

בדקו גם את הגדרות ההעברה ברמת החשבון, לא רק את כללי הסינון. שתי ההגדרות מגיעות לאותה תוצאה, ולעתים קרובות רק אחת מהן נבדקת.

עדכונים נוספים של Zimbra מתפרסמים במרכז האבטחה שלה.