Un zero-day qui se déclenche dès l'ouverture d'un e-mail

Une vulnérabilité récemment divulguée dans Zimbra Collaboration Suite oblige les équipes informatiques et les utilisateurs ordinaires à repenser la confiance qu'ils accordent à l'interface utilisateur de leur client de messagerie. Suivie sous le numéro CVE-2025-66376, cette faille est un bug de cross-site scripting (XSS) stocké dans l'interface Classic de Zimbra qui s'active dès qu'une victime consulte un e-mail malveillant. Aucune pièce jointe ne doit être ouverte, aucun lien ne doit être cliqué. La simple prévisualisation du message suffit à offrir à un attaquant un point d'ancrage dans la boîte aux lettres.

Les vulnérabilités XSS stockées sont particulièrement dangereuses parce que le code malveillant réside dans du contenu que le serveur considère comme légitime, en l'occurrence le corps d'un e-mail. Dès que l'interface Classic de Zimbra affiche cet e-mail, le script de l'attaquant s'exécute dans la session authentifiée de la victime, héritant de tout accès et de toutes les autorisations associés à cette session.

Comment l'attaque fonctionne et ce qui est dérobé

Selon la divulgation, la faille permet aux attaquants de dérober des jetons CSRF, d'extraire les codes de récupération 2FA et même de configurer des mots de passe spécifiques aux applications sur le compte de la victime, le tout sans aucune interaction supplémentaire au-delà de la première consultation de l'e-mail. Chacune de ces conséquences est grave en soi, mais réunies, elles représentent une voie de prise de contrôle quasi complète.

Les jetons CSRF sont censés vérifier que les requêtes adressées à une application web émanent bien de l'utilisateur connecté. Si un attaquant peut subtiliser ce jeton par le biais d'un script injecté, il peut potentiellement effectuer des actions pour le compte de la victime sans avoir besoin de mot de passe. Les codes de récupération 2FA sont conçus comme un filet de sécurité de dernier recours pour la récupération du compte ; les dérober neutralise dans les faits l'authentification à deux facteurs en tant que défense. Et les mots de passe spécifiques aux applications, souvent utilisés pour accorder un accès limité à des applications tierces, offrent aux attaquants un moyen discret et persistant de revenir dans la boîte aux lettres, sans avoir à répéter l'exploit initial ni à faire face à de futures invites de sécurité.

Cette combinaison reflète ce qui a déjà été documenté dans la nature. Comme nous l'avons rapporté précédemment au sujet du zero-day Zimbra suivi sous le numéro CVE-2025-66376, cette même vulnérabilité a été liée à une campagne d'espionnage liée à l'État russe qui l'a utilisée pour siphonner discrètement des données de messagerie d'organisations occidentales. Cette exploitation réelle souligne qu'il ne s'agit pas d'un bug théorique figurant dans un rapport de laboratoire ; il est activement utile pour des attaquants disposant des ressources et de la motivation nécessaires pour cibler des boîtes aux lettres spécifiques.

Pourquoi c'est un problème de vie privée, pas seulement de sécurité

Il est tentant de classer les vulnérabilités de messagerie comme « un problème du service informatique », mais les implications pour la vie privée touchent toute personne dont la boîte aux lettres fonctionne sur une instance vulnérable de l'interface Classic de Zimbra. Les boîtes de réception sont le pilier de l'identité numérique. Elles contiennent des liens de réinitialisation de mot de passe, des correspondances financières, des documents juridiques, des conversations personnelles, ainsi que les mécanismes de récupération 2FA conçus pour protéger d'autres comptes. Lorsqu'un attaquant peut collecter silencieusement ces données en exploitant un défaut de rendu, les dégâts s'étendent bien au-delà du serveur de messagerie lui-même.

Le vol des codes de récupération 2FA affaiblit spécifiquement une couche de sécurité que de nombreux utilisateurs considèrent comme leur protection la plus solide. L'authentification à deux facteurs est souvent recommandée comme la meilleure défense contre le piratage de compte, mais cette recommandation suppose que le mécanisme de récupération lui-même reste secret. Une vulnérabilité qui expose ces codes par le simple fait de consulter un e-mail sape silencieusement cette hypothèse, et ce, sans que la victime ne remarque quoi que ce soit d'anormal.

Ce type d'attaque s'inscrit également dans une tendance plus large que nos reportages ont suivie : les attaquants privilégient de plus en plus les méthodes furtives et à faible interaction au détriment des intrusions par force brute. Tout comme le phishing a dépassé l'exploitation traditionnelle en tant que principal moteur des attaques par ransomware, les bugs XSS stockés comme celui-ci montrent comment les attaquants exploitent l'action quotidienne de lire un e-mail plutôt que de compter sur une erreur évidente de la victime.

Ce que cela signifie pour vous

Si votre organisation ou votre messagerie personnelle utilise Zimbra Collaboration Suite avec l'interface Classic, cette vulnérabilité mérite une attention immédiate. Étant donné que l'exploit ne nécessite aucun clic, aucun téléchargement et aucun signal d'alarme évident, le conseil traditionnel « ne cliquez pas sur des liens suspects » offre peu de protection dans ce cas. La responsabilité se déplace vers les administrateurs qui doivent appliquer rapidement les correctifs de l'éditeur et vers les utilisateurs qui doivent rester vigilants face à toute activité anormale sur leur compte, comme des mots de passe spécifiques à des applications inconnus ou des comportements de session inattendus.

Étant donné que cette faille a déjà été liée à des activités d'espionnage ciblées, les organisations traitant des communications sensibles – sous-traitants gouvernementaux, journalistes, cabinets juridiques – devraient considérer l'application des correctifs comme urgente et non comme une simple routine.

Mesures à prendre

  • Vérifiez si votre organisation utilise l'interface Classic de Zimbra et confirmez si un correctif pour la CVE-2025-66376 a été appliqué ou est en attente.
  • Passez en revue les mots de passe spécifiques aux applications de votre compte et révoquez ceux que vous ne reconnaissez pas ou que vous n'utilisez plus.
  • Réinitialisez les codes de récupération 2FA après l'application du correctif, car les codes précédemment stockés ont peut-être déjà été exposés.
  • Envisagez de passer au client web moderne de Zimbra si l'interface Classic n'est pas essentielle à votre flux de travail, afin de réduire l'exposition à cette vulnérabilité spécifique.
  • Surveillez les avis aux administrateurs de Zimbra, car les failles XSS stockées dans les clients de messagerie web ont tendance à maintenir l'intérêt des attaquants même après la publication des premiers correctifs.

Ce zero-day Zimbra nous rappelle que même des actions routinières comme ouvrir un e-mail peuvent comporter un risque caché lorsque le logiciel sous-jacent présente des failles non corrigées. Rester à jour sur les correctifs et accorder à vos paramètres de sécurité de messagerie la même attention qu'à votre compte bancaire peut contribuer grandement à combler cet écart.