Una falla di XSS stored nascosta in piena vista

Una vulnerabilità appena divulgata in Zimbra Collaboration Suite sta dando ai team di sicurezza un motivo per controllare due volte i log delle patch. Tracciata come CVE-2025-66376, la falla è un problema di cross-site scripting (XSS) stored nel Classic Web Client, l’interfaccia più vecchia basata su HTML ancora utilizzata da molte installazioni Zimbra insieme alla web app moderna.

Ciò che rende questo bug degno di nota è quanto poco debba fare la vittima per attivarlo. Secondo la divulgazione, basta aprire un’email malevola nell’interfaccia Classic per eseguire codice controllato dall’attaccante all’interno della sessione di webmail autenticata della vittima. Da lì, l’attaccante può recuperare token di sessione, password salvate nel browser e persino codici di backup per l’autenticazione a due fattori, quei codici di emergenza su cui gli utenti fanno affidamento quando il metodo 2FA principale non è disponibile.

Come funziona l’attacco

Le vulnerabilità di XSS stored sono particolarmente pericolose perché il payload malevolo non deve essere cliccato o scaricato separatamente. Viene incorporato direttamente nel contenuto che il client di posta visualizza automaticamente, in questo caso attraverso direttive Cascading Style Sheets (CSS) inserite in un’email. Il Classic Web Client di Zimbra non ha correttamente sanificato questo contenuto, consentendo ai CSS di eseguire JavaScript nel contesto della sessione di posta dell’utente connesso.

Una volta eseguito quel codice, eredita tutto ciò a cui la sessione della vittima ha già accesso. Questo gli permette di andare oltre la casella di posta e recuperare token di autenticazione, credenziali memorizzate nel browser e codici di backup 2FA salvati per il recupero dell’account. In pratica, un’email aperta si trasforma in una potenziale compromissione totale dell’account, senza che la vittima inserisca una password o clicchi un link sospetto.

Non è la prima volta che la gestione dei contenuti incorporati da parte del Classic Web Client causa problemi. Zimbra ha già dovuto correggere problemi simili di sanificazione di HTML e file ICS nella stessa interfaccia, uno schema che sottolinea perché le organizzazioni che utilizzano ancora il client legacy sono esposte in modo ricorrente fino a quando non applicano le patch in modo aggressivo o non migrano completamente altrove.

Chi deve intervenire

La vulnerabilità interessa Zimbra Collaboration (ZCS) 10 precedente alla versione 10.0.18 e 10.1 precedente alla versione 10.1.13. Zimbra ha rilasciato build correttive e l’avviso di sicurezza dell’azienda descrive la patch come la risoluzione di un problema critico di XSS stored nel Classic Web Client. Le organizzazioni che eseguono versioni interessate dovrebbero trattare questo aggiornamento come prioritario, e non come qualcosa da programmare nella prossima finestra di manutenzione ordinaria, dato che lo sfruttamento non richiede alcuna interazione dell’utente oltre all’apertura di un’email.

Poiché la falla risiede nell’accesso a livello di sessione, la sola applicazione della patch potrebbe non essere sufficiente se un account è stato compromesso prima dell’aggiornamento. Gli amministratori dovrebbero anche considerare di verificare le attività di accesso recenti, ruotare i token di sessione e riemettere i codici di backup 2FA per gli account che hanno utilizzato l’interfaccia Classic mentre la vulnerabilità era presente.

Cosa significa per te

Se utilizzi la webmail di Zimbra, come singolo, piccola azienda o come parte dell’infrastruttura email di una grande organizzazione, questa vulnerabilità è un promemoria che i token di autenticazione e i codici di backup sono sicuri solo quanto il software che visualizza la tua casella di posta. L’autenticazione a due fattori è una difesa robusta contro gli attacchi basati su password, ma un bug XSS stored che può prelevare i codici di backup direttamente da una sessione del browser dimostra che il 2FA non è una panacea se il client web sottostante è compromesso.

Per gli utenti comuni, il rischio concreto dipende dal fatto che il proprio provider email o reparto IT utilizzi Zimbra e, in particolare, se il Classic Web Client sia ancora in uso. La maggior parte delle persone non dovrà fare nulla se non aspettare che l’amministratore applichi la patch. Per gli amministratori e i team IT, invece, si tratta di un’azione immediata.

Cosa fare in concreto

  • Verifica che la tua installazione Zimbra esegua ZCS 10.0.18, 10.1.13 o versioni successive; qualsiasi versione precedente è esposta a CVE-2025-66376.
  • Se la tua organizzazione utilizza ancora il Classic Web Client, dai priorità all’applicazione della patch rispetto alla migrazione verso l’interfaccia moderna che potresti aver pianificato.
  • Dopo la patch, esamina i log di autenticazione recenti per individuare anomalie e considera la rotazione dei token di sessione per gli account attivi durante la finestra di esposizione.
  • Riemetti i codici di backup 2FA per tutti gli account con segni di attività sospetta, poiché i codici di backup rubati possono aggirare completamente le protezioni a due fattori.
  • Tratta in futuro gli avvisi di XSS stored del tuo provider email come priorità elevata, dato che non è la prima volta che il client legacy di Zimbra ha bisogno di correzioni di emergenza per la sanificazione.

Stare un passo avanti rispetto a vulnerabilità come questa si riduce a una disciplina ordinaria delle patch e a sapere esattamente quale client web utilizza realmente la tua organizzazione giorno per giorno. Qualche minuto speso ora per confermare la versione di Zimbra è molto più economico che dover rimediare a una casella di posta compromessa in seguito.