Zimbra insta a sus clientes a aplicar actualizaciones para solucionar una vulnerabilidad de seguridad crítica que afecta al Cliente Web Clásico y que podría resultar en la ejecución de código arbitrario.

La vulnerabilidad ha sido descrita como un caso de cross-site scripting (XSS) almacenado que podría permitir que correos electrónicos especialmente diseñados ejecuten scripts maliciosos en la sesión de un usuario. Aún no se le ha asignado un identificador CVE.

"La actualización soluciona un problema de seguridad en el Cliente Web Clásico donde un correo electrónico especialmente diseñado podría ejecutar código malicioso al abrirse", afirmó Zimbra en su comunicado. "Si se explota, podría permitir el acceso a la información del buzón, datos de sesión o configuración de la cuenta".

Las vulnerabilidades XSS ocurren cuando una aplicación incluye datos no confiables en una página web sin la validación o el escape adecuados. Esto permite a los atacantes inyectar y ejecutar JavaScript malicioso en los navegadores de las víctimas, lo que puede resultar en el secuestro de sesiones, robo de credenciales y compromiso de cuentas.

El XSS almacenado, o XSS persistente, es un tipo de fallo XSS donde el script inyectado se almacena permanentemente en los servidores objetivo en una base de datos, ya sea en forma de un comentario aparentemente inofensivo o una publicación en un foro, provocando que cualquier visitante del sitio se vea comprometido tan pronto como la página que contiene el JavaScript se cargue en su navegador web.

Aunque Zimbra no menciona que la vulnerabilidad esté siendo explotada activamente, los fallos XSS en Zimbra han sido un imán de ataques durante años, con actores malintencionados intentando aprovechar tales vulnerabilidades desde diciembre de 2021.

El pasado octubre, se alegó que un fallo de XSS almacenado en el Cliente Web Clásico (CVE-2025-27915, puntuación CVSS: 5.4) había sido explotado como un zero-day en ataques dirigidos al ejército brasileño, aunque Zimbra dijo en su momento que no encontró pruebas que lo respaldaran.

Otros fallos de XSS que han sido explotados por actores de amenazas incluyen CVE-2023-37580 y CVE-2024-27443. Debido a su alto potencial de abuso, se te recomienda actualizar a la versión 10.1.19 de Zimbra Collaboration Suite para obtener una protección óptima.

Fuente:
THN