Une faille XSS stockée qui se cache à la vue de tous

Une vulnérabilité récemment divulguée dans Zimbra Collaboration Suite donne aux équipes de sécurité une bonne raison de vérifier deux fois leurs journaux de correctifs. Répertoriée sous le nom CVE-2025-66376, cette faille est une vulnérabilité de cross-site scripting (XSS) stocké dans l’interface Web classique, l’ancienne interface basée sur HTML que de nombreuses installations Zimbra utilisent encore parallèlement à l’application web moderne.

Ce qui rend ce bogue remarquable, c’est le peu d’action que la victime doit accomplir pour le déclencher. Selon la divulgation, le simple fait d’ouvrir un courriel malveillant dans l’interface classique suffit à exécuter du code contrôlé par l’attaquant dans la session de messagerie web authentifiée de la victime. À partir de là, l’attaquant peut récupérer des jetons de session, des mots de passe stockés dans le navigateur, et même des codes de secours pour l’authentification à deux facteurs, ces codes de récupération sur lesquels les utilisateurs comptent lorsque leur méthode principale de 2FA n’est pas disponible.

Comment l’attaque fonctionne

Les vulnérabilités XSS stocké sont particulièrement dangereuses parce que la charge malveillante n’a pas besoin d’être cliquée ou téléchargée séparément. Elle est directement intégrée dans le contenu que le client de messagerie affiche automatiquement, en l’occurrence via des directives CSS (Cascading Style Sheets) insérées dans un courriel. Le client Web classique de Zimbra ne parvenait pas à assainir correctement ce contenu, ce qui permettait au CSS d’exécuter du JavaScript dans le contexte de la session de messagerie de l’utilisateur connecté.

Une fois ce code exécuté, il hérite de tout ce à quoi la session de la victime a déjà accès. C’est ce qui lui permet d’aller au-delà de la boîte de réception et de récupérer des jetons d’authentification, des identifiants mis en cache par le navigateur, ainsi que les codes de secours 2FA stockés pour la récupération de compte. Dans la pratique, cela transforme un simple courriel ouvert en une compromission potentielle de l’intégralité du compte, sans que la victime ait à saisir un mot de passe ou à cliquer sur un lien suspect.

Ce n’est pas la première fois que la gestion du contenu intégré par le client web classique pose problème. Zimbra a déjà dû corriger des problèmes d’assainissement similaires pour le HTML et les fichiers ICS au sein de cette même interface, une tendance qui souligne pourquoi les organisations qui utilisent encore ce client hérité sont exposées à des risques récurrents tant qu’elles n’appliquent pas rigoureusement les correctifs ou ne migrent pas entièrement vers une autre solution.

Qui doit agir

La vulnérabilité affecte Zimbra Collaboration (ZCS) 10 dans les versions antérieures à 10.0.18 et 10.1 antérieures à 10.1.13. Zimbra a publié des versions corrigées, et l’avis de sécurité de l’entreprise décrit le correctif comme remédiant à un problème critique de XSS stocké dans le client web classique. Les organisations utilisant des versions affectées doivent traiter cette mise à jour comme une priorité, plutôt que de la planifier lors de la prochaine fenêtre de maintenance de routine, étant donné que l’exploitation ne nécessite aucune interaction de l’utilisateur au-delà de l’ouverture d’un courriel.

Étant donné que la faille se situe au niveau de l’accès à la session, l’application du correctif peut ne pas suffire si un compte a déjà été compromis avant la mise à jour. Les administrateurs devraient également envisager d’auditer les activités de connexion récentes, de révoquer les jetons de session et de réémettre les codes de secours 2FA pour les comptes qui ont eu accès à l’interface classique pendant la période où la vulnérabilité était présente.

Ce que cela signifie pour vous

Si vous utilisez la messagerie web Zimbra, que vous soyez un particulier, une petite entreprise ou une partie de l’infrastructure de messagerie d’une grande organisation, cette vulnérabilité rappelle que les jetons d’authentification et les codes de secours ne sont aussi sûrs que le logiciel qui affiche votre boîte de réception. L’authentification à deux facteurs est une défense solide contre les attaques basées sur les mots de passe, mais un bogue XSS stocké capable de dérober directement les codes de secours depuis une session de navigateur montre que la 2FA n’est pas une solution miracle si le client web sous-jacent est lui-même compromis.

Pour les utilisateurs quotidiens, le risque concret dépend de la question de savoir si votre fournisseur de messagerie ou votre service informatique utilise Zimbra et, surtout, si le client web classique est encore en service. La plupart des gens n’auront rien d’autre à faire que d’attendre que leur administrateur applique le correctif. En revanche, pour les administrateurs et les équipes informatiques, il s’agit d’une action immédiate à entreprendre.

Mesures concrètes à prendre

  • Vérifiez que votre déploiement Zimbra utilise ZCS 10.0.18, 10.1.13 ou une version ultérieure ; toute version antérieure est exposée à la CVE-2025-66376.
  • Si votre organisation utilise encore le client web classique, donnez la priorité au correctif par rapport au calendrier de migration vers l’interface moderne que vous aviez peut-être prévu.
  • Après avoir appliqué le correctif, examinez les journaux d’authentification récents à la recherche d’anomalies et envisagez de révoquer les jetons de session des comptes actifs durant la fenêtre d’exposition.
  • Réémettez les codes de secours 2FA pour tout compte présentant des signes d’activité suspecte, car des codes de secours volés peuvent contourner entièrement les protections à deux facteurs.
  • À l’avenir, traitez les avis de XSS stocké provenant de votre fournisseur de messagerie comme une priorité absolue, car ce n’est pas la première fois que le client hérité de Zimbra a besoin de correctifs d’assainissement d’urgence.

Garder une longueur d’avance sur ce type de vulnérabilités repose sur une discipline de correctifs régulière et sur une connaissance précise du client web que votre organisation utilise réellement au quotidien. Quelques minutes passées à confirmer votre version de Zimbra maintenant coûtent bien moins cher que de devoir récupérer une boîte aux lettres compromise par la suite.