Zimbra: Κρίσιμη ευπάθεια στο Classic Web Client απαιτεί άμεση αναβάθμιση

Σε άμεση αναβάθμιση των εγκαταστάσεών τους καλεί τους πελάτες της η Zimbra, μετά τον εντοπισμό μιας κρίσιμης ευπάθειας ασφαλείας που επηρεάζει το Classic Web Client, τη γνωστή web διεπαφή πρόσβασης στη σουίτα Ζimbra Collaboration. Σύμφωνα με την εταιρεία, το συγκεκριμένο κενό ασφαλείας μπορεί να αξιοποιηθεί μέσω ειδικά διαμορφωμένων email, επιτρέποντας σε έναν επιτιθέμενο να εκτελέσει κακόβουλο κώδικα μόλις το θύμα ανοίξει το μήνυμα.

Η Zimbra διέθεσε ήδη τη νέα έκδοση 10.1.19, η οποία διορθώνει το πρόβλημα, προτρέποντας όλους τους οργανισμούς που εξακολουθούν να χρησιμοποιούν το Classic Web Client να προχωρήσουν στην εγκατάστασή της χωρίς καθυστέρηση. Αν και η ευπάθεια δεν έχει ακόμη λάβει επίσημο αναγνωριστικό CVE, η σοβαρότητά της θεωρείται ιδιαίτερα υψηλή, καθώς μπορεί να οδηγήσει σε υποκλοπή ευαίσθητων δεδομένων και παραβίαση λογαριασμών ηλεκτρονικού ταχυδρομείου.

Τι είναι το Zimbra Collaboration

Το Ζimbra Collaboration αποτελεί μία από τις πιο διαδεδομένες πλατφόρμες ηλεκτρονικού ταχυδρομείου και εταιρικής συνεργασίας παγκοσμίως. Χρησιμοποιείται από χιλιάδες επιχειρήσεις, πανεπιστήμια, οργανισμούς και κυβερνητικές υπηρεσίες, εξυπηρετώντας εκατοντάδες εκατομμύρια χρήστες.

Δείτε επίσης: XRING: Σοβαρό σφάλμα στο XQUIC απειλεί διακομιστές HTTP/3

Παρότι η πλατφόρμα διαθέτει πλέον μια πιο σύγχρονη web διεπαφή, πολλοί οργανισμοί συνεχίζουν να χρησιμοποιούν το Classic Web Client. Η συγκεκριμένη έκδοση βασίζεται στην τεχνολογία Ajax και παραμένει ιδιαίτερα δημοφιλής, καθώς προσφέρει ταχύτερη απόκριση και καλύτερη διαχείριση μεγάλων mailboxes χωρίς τις αυξημένες απαιτήσεις πόρων της νεότερης έκδοσης.

Ωστόσο, η μεγάλη διάδοσή της σημαίνει ότι οποιοδήποτε σοβαρό κενό ασφαλείας μπορεί να επηρεάσει μεγάλο αριθμό οργανισμών σε όλο τον κόσμο.

Πώς λειτουργεί η νέα επίθεση

Η ευπάθεια ανήκει στην κατηγορία stored Cross-Site Scripting (Stored XSS), μία από τις πιο επικίνδυνες μορφές επιθέσεων XSS. Σε αντίθεση με άλλες τεχνικές, ο κακόβουλος κώδικας αποθηκεύεται στο ίδιο το περιεχόμενο του email και ενεργοποιείται όταν ο χρήστης ανοίξει το μήνυμα μέσα από το Classic Web Client.

Με αυτόν τον τρόπο, ο επιτιθέμενος μπορεί να εκτελέσει JavaScript στο περιβάλλον του browser του θύματος, αποκτώντας πρόσβαση σε δεδομένα συνεδρίας, cookies πιστοποίησης, πληροφορίες λογαριασμού ή ακόμη και σε περιεχόμενο του ηλεκτρονικού ταχυδρομείου.

Εφόσον ένας λογαριασμός παραβιαστεί, ο εισβολέας μπορεί να αποκτήσει πρόσβαση σε εταιρική αλληλογραφία, επαφές, ημερολόγια, συνημμένα αρχεία και άλλες ευαίσθητες πληροφορίες, δημιουργώντας σοβαρούς κινδύνους τόσο για την ιδιωτικότητα όσο και για την ασφάλεια ενός οργανισμού.

Η σύσταση της Zimbra προς τους διαχειριστές

Η εταιρεία δεν αφήνει περιθώρια παρερμηνείας ως προς τη σοβαρότητα της κατάστασης. Στην επίσημη ανακοίνωσή της επισημαίνει ότι όλοι οι οργανισμοί που χρησιμοποιούν το Classic Web Client θα πρέπει να εγκαταστήσουν άμεσα την έκδοση ZCS 10.1.19, καθώς η ευπάθεια επηρεάζει αποκλειστικά τη συγκεκριμένη διεπαφή.

Παρότι μέχρι στιγμής δεν υπάρχουν δημόσιες ενδείξεις ότι το κενό ασφαλείας αξιοποιείται ήδη σε πραγματικές επιθέσεις, η αναφορά του προήλθε από την Threat Analysis Group (TAG) της Google. Η συγκεκριμένη ομάδα έχει σημαντική εμπειρία στον εντοπισμό zero-day επιθέσεων και κρατικά υποστηριζόμενων εκστρατειών κυβερνοκατασκοπείας, γεγονός που αυξάνει το ενδιαφέρον γύρω από τη συγκεκριμένη ευπάθεια.

Δείτε επίσης: Ill Bloom: Ευπάθεια επέτρεψε κλοπή $3,1 εκατ. από crypto wallets

Το Zimbra βρίσκεται διαρκώς στο στόχαστρο κυβερνοκατασκόπων

Η νέα προειδοποίηση δεν αποτελεί μεμονωμένο περιστατικό. Τα τελευταία χρόνια, το Zimbra έχει βρεθεί επανειλημμένα στο επίκεντρο εκστρατειών κυβερνοκατασκοπείας, κυρίως λόγω της ευρείας χρήσης του σε κυβερνητικούς οργανισμούς και κρίσιμες υποδομές.

Το 2023, η ομάδα Winter Vivern, η οποία συνδέεται με τη Ρωσία, αξιοποίησε ευπάθεια τύπου reflected XSS για να αποκτήσει πρόσβαση σε λογαριασμούς ηλεκτρονικού ταχυδρομείου κυβερνητικών αξιωματούχων, διπλωματών και στρατιωτικού προσωπικού που σχετίζονταν με το ΝΑΤΟ.

Λίγους μήνες αργότερα, οι υπηρεσίες κυβερνοασφάλειας των Ηνωμένων Πολιτειών και του Ηνωμένου Βασιλείου προειδοποίησαν ότι η ομάδα APT29 (Cozy Bear ή Midnight Blizzard) πραγματοποιούσε μαζικές επιθέσεις εναντίον ευάλωτων εγκαταστάσεων Zimbra, εκμεταλλευόμενη γνωστά κενά ασφαλείας για την υποκλοπή διαπιστευτηρίων χρηστών.

Παράλληλα, τον Μάρτιο του 2025, η αμερικανική CISA ζήτησε από όλες τις ομοσπονδιακές υπηρεσίες να διορθώσουν ακόμη μία ευπάθεια XSS, η οποία χρησιμοποιήθηκε από την ομάδα APT28 (Fancy Bear) σε επιθέσεις εναντίον ουκρανικών κρατικών οργανισμών.

Γιατί οι διαχειριστές δεν πρέπει να καθυστερήσουν

Η επαναλαμβανόμενη εκμετάλλευση ευπαθειών του Zimbra αποδεικνύει ότι οι πλατφόρμες ηλεκτρονικού ταχυδρομείου αποτελούν έναν από τους σημαντικότερους στόχους των σύγχρονων κυβερνοεπιθέσεων. Μια επιτυχημένη παραβίαση email μπορεί να αποτελέσει το πρώτο βήμα για υποκλοπή εμπιστευτικών πληροφοριών, εγκατάσταση επιπλέον κακόβουλου λογισμικού ή ακόμη και πλήρη παραβίαση ενός εταιρικού δικτύου.

Η κατάσταση γίνεται ακόμη πιο ανησυχητική αν ληφθεί υπόψη ότι, σύμφωνα με τον οργανισμό Shadowserver, περισσότεροι από 10.500 διακομιστές Zimbra που ήταν εκτεθειμένοι στο διαδίκτυο παρέμεναν πρόσφατα ευάλωτοι σε άλλες γνωστές επιθέσεις XSS. Το γεγονός αυτό δείχνει ότι αρκετοί οργανισμοί καθυστερούν συστηματικά τις ενημερώσεις ασφαλείας, δημιουργώντας ένα ευρύ πεδίο δράσης για κυβερνοεγκληματίες και ομάδες κρατικής κατασκοπείας.

Δείτε επίσης: Ubiquiti: Κρίσιμη ευπάθεια στο UniFi OS – Update now

Για τον λόγο αυτό, η άμεση εγκατάσταση της τελευταίας έκδοσης, η συνεχής παρακολούθηση ύποπτης δραστηριότητας και η εφαρμογή ισχυρών πολιτικών ασφαλείας αποτελούν πλέον βασικές προϋποθέσεις για την προστασία κάθε υποδομής που βασίζεται στη σουίτα Zimbra Collaboration.

Πηγή: www.bleepingcomputer.com