Celah XSS Tersimpan yang Tersembunyi di Depan Mata

Kerentanan yang baru diungkap dalam Zimbra Collaboration Suite membuat tim keamanan perlu memeriksa log patch mereka dua kali. Dilacak sebagai CVE-2025-66376, celah ini adalah isu cross-site scripting (XSS) tersimpan di Classic Web Client, antarmuka berbasis HTML lama yang masih digunakan oleh banyak penerapan Zimbra bersama aplikasi web modern.

Yang membuat bug ini patut diperhatikan adalah betapa sedikitnya yang perlu dilakukan korban untuk memicunya. Menurut pengungkapan, cukup dengan membuka email berbahaya di UI Klasik untuk menjalankan kode yang dikendalikan penyerang di dalam sesi webmail korban yang terautentikasi. Dari situ, penyerang dapat menarik token sesi, kata sandi yang tersimpan di browser, dan bahkan kode scratch two-factor authentication, kode cadangan yang diandalkan pengguna saat metode 2FA utama mereka tidak tersedia.

Bagaimana Serangan Bekerja

Kerentanan XSS tersimpan sangat berbahaya karena payload berbahaya tidak perlu diklik atau diunduh secara terpisah. Payload tersebut disematkan langsung ke dalam konten yang dirender oleh klien email secara otomatis, dalam hal ini melalui direktif Cascading Style Sheets (CSS) yang disisipkan ke dalam email. Classic Web Client Zimbra gagal membersihkan konten ini dengan benar, memungkinkan CSS mengeksekusi JavaScript dalam konteks sesi kotak masuk pengguna yang masuk.

Begitu kode itu berjalan, ia mewarisi apa pun yang sudah dapat diakses oleh sesi korban. Inilah yang memungkinkannya menjangkau di luar kotak masuk dan mengambil token autentikasi, kredensial yang disimpan di browser, dan kode scratch 2FA yang disimpan untuk pemulihan akun. Dalam praktiknya, ini mengubah satu email yang dibuka menjadi potensi pengambilalihan akun penuh, tanpa korban memasukkan kata sandi atau mengeklik tautan mencurigakan.

Ini bukan pertama kalinya penanganan konten tersemat oleh Classic Web Client menyebabkan masalah. Zimbra sebelumnya telah memperbaiki masalah sanitasi HTML dan file ICS serupa di antarmuka yang sama, pola yang menegaskan mengapa organisasi yang masih menjalankan klien lawas menghadapi paparan berulang sampai mereka menambal secara agresif atau sepenuhnya beralih darinya.

Siapa yang Perlu Bertindak

Kerentanan ini memengaruhi Zimbra Collaboration (ZCS) 10 sebelum versi 10.0.18 dan 10.1 sebelum versi 10.1.13. Zimbra telah merilis build yang diperbaiki, dan advisori keamanan perusahaan sendiri menjelaskan patch ini sebagai penanganan isu XSS tersimpan kritis di Classic Web Client. Organisasi yang menjalankan versi yang terpengaruh harus memperlakukan ini sebagai pembaruan prioritas, bukan sesuatu untuk dijadwalkan di jendela pemeliharaan rutin berikutnya, mengingat eksploitasi tidak memerlukan interaksi pengguna selain membuka email.

Karena celah ini berada pada akses tingkat sesi, menambal saja mungkin tidak cukup jika akun sudah disusupi sebelum pembaruan diterapkan. Administrator juga harus mempertimbangkan untuk mengaudit aktivitas login baru-baru ini, merotasi token sesi, dan menerbitkan ulang kode scratch 2FA untuk akun yang memiliki akses ke UI Klasik saat kerentanan belum ditambal.

Apa Artinya Bagi Anda

Jika Anda menggunakan webmail Zimbra, baik sebagai individu, bisnis kecil, atau sebagai bagian dari infrastruktur email organisasi yang lebih besar, kerentanan ini adalah pengingat bahwa token autentikasi dan kode cadangan hanya seaman perangkat lunak yang merender kotak masuk Anda. Autentikasi dua faktor adalah pertahanan kuat terhadap serangan berbasis kata sandi, tetapi bug XSS tersimpan yang dapat mengangkat kode scratch langsung dari sesi browser menunjukkan bahwa 2FA bukan solusi ajaib jika klien web yang mendasarinya sendiri telah disusupi.

Untuk pengguna sehari-hari, risiko praktisnya bergantung pada apakah penyedia email atau departemen TI Anda menjalankan Zimbra, dan secara spesifik, apakah Classic Web Client masih digunakan. Sebagian besar orang tidak perlu melakukan apa pun selain menunggu administrator mereka menerapkan patch. Namun, bagi administrator dan tim TI, ini adalah item tindakan yang mendesak.

Hal-hal yang Dapat Dilakukan

  • Pastikan penerapan Zimbra Anda menjalankan ZCS 10.0.18, 10.1.13, atau yang lebih baru; versi apa pun yang lebih lama terpapar oleh CVE-2025-66376.
  • Jika organisasi Anda masih mengandalkan Classic Web Client, prioritaskan penambalan di atas jadwal migrasi antarmuka modern yang mungkin telah Anda rencanakan.
  • Setelah menambal, tinjau log autentikasi terbaru untuk anomali dan pertimbangkan untuk merotasi token sesi untuk akun yang aktif selama jendela paparan.
  • Terbitkan ulang kode scratch 2FA untuk setiap akun dengan tanda-tanda aktivitas mencurigakan, karena kode cadangan yang dicuri dapat sepenuhnya melewati perlindungan dua faktor.
  • Perlakukan advisori XSS tersimpan dari penyedia email Anda sebagai prioritas tinggi ke depannya, karena ini bukan pertama kalinya klien lawas Zimbra memerlukan perbaikan sanitasi darurat.

Tetap selangkah lebih maju dari kerentanan seperti ini bergantung pada disiplin patch rutin dan mengetahui dengan tepat klien web mana yang sebenarnya digunakan organisasi Anda sehari-hari. Beberapa menit yang dihabiskan untuk mengonfirmasi versi Zimbra Anda sekarang jauh lebih murah daripada memulihkan kotak masuk yang disusupi nanti.