Eine gespeicherte XSS-Schwachstelle, die sich vor aller Augen versteckt

Eine kürzlich bekannt gegebene Schwachstelle in der Zimbra Collaboration Suite gibt Sicherheitsteams einen Grund, ihre Patch-Protokolle zweimal zu prüfen. Unter der Kennung CVE-2025-66376 ist die Lücke ein gespeicherter Cross-Site-Scripting-Fehler (XSS) im Classic Web Client, der älteren, HTML-basierten Oberfläche, die neben der modernen Web-App weiterhin in vielen Zimbra-Installationen genutzt wird.

Was diesen Bug besonders macht, ist, wie wenig das Opfer tun muss, um ihn auszulösen. Laut der Offenlegung reicht das bloße Öffnen einer bösartigen E-Mail in der Classic-Benutzeroberfläche aus, um vom Angreifer kontrollierten Code innerhalb der authentifizierten Webmail-Sitzung des Opfers auszuführen. Von dort aus kann der Angreifer Sitzungs-Token, im Browser gespeicherte Passwörter und sogar Backup-Codes für die Zwei-Faktor-Authentifizierung (2FA) abgreifen – jene Ersatzcodes, auf die Benutzer zurückgreifen, wenn ihre primäre 2FA-Methode nicht verfügbar ist.

So funktioniert der Angriff

Gespeicherte XSS-Schwachstellen sind besonders gefährlich, weil die bösartige Nutzlast nicht separat angeklickt oder heruntergeladen werden muss. Sie wird direkt in Inhalte eingebettet, die der Mail-Client automatisch darstellt – in diesem Fall über Cascading Style Sheets (CSS)-Anweisungen, die in eine E-Mail eingefügt werden. Der Classic Web Client von Zimbra hat diese Inhalte nicht ordnungsgemäß bereinigt, sodass das CSS JavaScript im Kontext der Mailbox-Sitzung des angemeldeten Benutzers ausführen konnte.

Sobald dieser Code läuft, erbt er alles, worauf die Sitzung des Opfers bereits Zugriff hat. Genau deshalb kann er über den Posteingang hinaus Authentifizierungs-Token, im Browser zwischengespeicherte Anmeldeinformationen und für die Kontowiederherstellung gespeicherte 2FA-Scratch-Codes abrufen. In der Praxis verwandelt dies eine einzige geöffnete E-Mail in eine potenzielle vollständige Kontoübernahme, ohne dass das Opfer ein Passwort eingeben oder einen verdächtigen Link anklicken müsste.

Es ist nicht das erste Mal, dass die Verarbeitung eingebetteter Inhalte durch den Classic Web Client Probleme verursacht. Zimbra musste bereits früher ähnliche Probleme bei der Bereinigung von HTML- und ICS-Dateien in derselben Oberfläche beheben – ein Muster, das unterstreicht, warum Organisationen, die den veralteten Client weiterhin betreiben, immer wieder gefährdet sind, bis sie entweder aggressiv patchen oder vollständig davon migrieren.

Wer handeln muss

Die Schwachstelle betrifft Zimbra Collaboration (ZCS) 10 vor Version 10.0.18 und 10.1 vor Version 10.1.13. Zimbra hat korrigierte Builds veröffentlicht, und die eigene Sicherheitsmeldung des Unternehmens beschreibt den Patch als Behebung eines kritischen gespeicherten XSS-Problems im Classic Web Client. Organisationen, die betroffene Versionen einsetzen, sollten dies als Prioritäts-Update behandeln und nicht als etwas, das man für das nächste routinemäßige Wartungsfenster einplant, da für die Ausnutzung keine Benutzerinteraktion über das Öffnen einer E-Mail hinaus erforderlich ist.

Da die Schwachstelle auf Sitzungsebene wirkt, reicht das Patchen allein möglicherweise nicht aus, wenn ein Konto bereits vor dem Update kompromittiert wurde. Administratoren sollten auch die letzten Anmeldeaktivitäten prüfen, Sitzungs-Token rotieren und 2FA-Scratch-Codes für Konten neu ausstellen, die während des ungepatchten Zeitraums Zugriff auf die Classic-Benutzeroberfläche hatten.

Was das für Sie bedeutet

Falls Sie die Zimbra-Webmail nutzen, sei es als Einzelperson, als kleines Unternehmen oder als Teil der E-Mail-Infrastruktur einer größeren Organisation, ist diese Schwachstelle eine Erinnerung daran, dass Authentifizierungs-Token und Backup-Codes nur so sicher sind wie die Software, die Ihren Posteingang darstellt. Zwei-Faktor-Authentifizierung ist eine starke Verteidigung gegen passwortbasierte Angriffe, aber ein gespeicherter XSS-Bug, der Scratch-Codes direkt aus einer Browser-Sitzung stehlen kann, zeigt, dass 2FA keine Allzweckwaffe ist, wenn der zugrunde liegende Web-Client selbst kompromittiert ist.

Für alltägliche Nutzer hängt das praktische Risiko davon ab, ob Ihr E-Mail-Anbieter oder Ihre IT-Abteilung Zimbra betreibt und insbesondere, ob der Classic Web Client noch verwendet wird. Die meisten Menschen müssen nichts weiter tun, als darauf zu warten, dass ihr Administrator den Patch einspielt. Für Administratoren und IT-Teams hingegen ist dies ein sofortiger Handlungsbedarf.

Umsetzbare Erkenntnisse

  • Bestätigen Sie, dass Ihre Zimbra-Installation ZCS 10.0.18, 10.1.13 oder höher ausführt; alles Ältere ist für CVE-2025-66376 anfällig.
  • Wenn Ihre Organisation immer noch auf den Classic Web Client setzt, priorisieren Sie das Patchen vor einem möglicherweise geplanten Migrationszeitplan zur modernen Oberfläche.
  • Prüfen Sie nach dem Patchen die letzten Authentifizierungsprotokolle auf Anomalien und ziehen Sie in Betracht, Sitzungs-Token für Konten zu rotieren, die während des Gefährdungsfensters aktiv waren.
  • Stellen Sie 2FA-Scratch-Codes für alle Konten neu aus, die Anzeichen verdächtiger Aktivitäten aufweisen, da gestohlene Backup-Codes die Zwei-Faktor-Absicherung vollständig umgehen können.
  • Behandeln Sie Meldungen über gespeicherte XSS-Schwachstellen Ihres E-Mail-Anbieters künftig als hohe Priorität, da es nicht das erste Mal ist, dass der veraltete Client von Zimbra dringende Bereinigungs-Fixes benötigt.

Schwachstellen wie dieser immer einen Schritt voraus zu sein, ist eine Frage der routinemäßigen Patch-Disziplin und des genauen Wissens, welchen Web-Client Ihre Organisation tagtäglich tatsächlich nutzt. Ein paar Minuten, die Sie jetzt investieren, um Ihre Zimbra-Version zu bestätigen, sind weitaus günstiger als die Wiederherstellung eines kompromittierten Postfachs später.