目に見えないところに潜む保存型XSSの脆弱性

新たに公開されたZimbra Collaboration Suiteの脆弱性により、セキュリティチームはパッチログを二度確認せざるを得なくなっています。CVE-2025-66376として追跡されるこの欠陥は、クラシックWebクライアント（多くのZimbra導入環境で最新のWebアプリと併用されている旧式のHTMLベースインターフェース）における保存型クロスサイトスクリプティング（XSS）の問題です。

このバグが注目される理由は、被害者がトリガーするためにほとんど操作を必要としない点にあります。開示情報によると、クラシックUIで悪意のあるメールを開くだけで、被害者の認証済みWebメールセッション内で攻撃者が制御するコードが実行される可能性があります。そこから攻撃者は、セッショントークン、ブラウザに保存されたパスワード、さらにはユーザーが主要な2FA手段を利用できないときに頼るバックアップコードである二要素認証のスクラッチコードまで取得することができます。

攻撃の仕組み

保存型XSSの脆弱性は、悪意のあるペイロードを個別にクリックしたりダウンロードしたりする必要がないため、特に危険です。ペイロードはメールクライアントが自動的にレンダリングするコンテンツに直接埋め込まれます。今回のケースでは、メールに挿入されたCascading Style Sheets（CSS）ディレクティブを介して行われます。ZimbraのクラシックWebクライアントはこのコンテンツを適切にサニタイズできず、CSSがログイン中のユーザーのメールボックスセッションのコンテキストでJavaScriptを実行することを許してしまいました。

そのコードが実行されると、被害者のセッションがすでにアクセス可能なすべてを継承します。これにより、受信トレイの枠を超えて認証トークン、ブラウザにキャッシュされた認証情報、アカウント回復用に保存された2FAスクラッチコードを取得することが可能になります。実際には、被害者がパスワードを入力したり不審なリンクをクリックしたりすることなく、たった一通のメールを開くだけでアカウントの完全乗っ取りにつながる恐れがあります。

クラシックWebクライアントが埋め込みコンテンツの処理で問題を起こしたのは今回が初めてではありません。Zimbraはこれまでにも、同じインターフェースで同様のHTMLやICSファイルのサニタイズ問題に対するパッチを適用してきました。このパターンは、レガシークライアントをまだ使用している組織が、積極的にパッチを適用するか完全に移行するまで、繰り返しリスクにさらされる理由を浮き彫りにしています。

対応が必要な対象

この脆弱性は、Zimbra Collaboration (ZCS) 10 バージョン10.0.18未満、および10.1 バージョン10.1.13未満に影響します。Zimbraは修正済みビルドをリリースしており、同社のセキュリティアドバイザリでは、このパッチがクラシックWebクライアントの深刻な保存型XSS問題に対処するものと説明しています。影響を受けるバージョンを実行している組織は、メールを開く以外にユーザーの操作を必要としないエクスプロイトであることを踏まえ、次の定期メンテナンスウィンドウに予定するのではなく、優先度の高いアップデートとして扱うべきです。

この欠陥はセッションレベルのアクセスに存在するため、アップデートを適用する前にすでにアカウントが侵害されていた場合、パッチだけでは不十分な可能性があります。管理者は、脆弱性が未修正の状態でクラシックUIにアクセスしていたアカウントについて、最近のログインアクティビティの監査、セッショントークンのローテーション、および2FAスクラッチコードの再発行も検討する必要があります。

これが意味すること

個人として、小規模ビジネスとして、あるいは大規模組織のメールインフラの一部としてZimbra Webメールを使用している場合、この脆弱性は、認証トークンやバックアップコードの安全性は受信トレイをレンダリングするソフトウェアの安全性に依存するということを再認識させてくれます。二要素認証はパスワードベースの攻撃に対する強力な防御策ですが、保存型XSSによってブラウザセッションから直接スクラッチコードが窃取される可能性があることは、基盤となるWebクライアント自体が侵害された場合、2FAが万能の解決策ではないことを示しています。

一般ユーザーにとって実際のリスクは、利用しているメールプロバイダーやIT部門がZimbraを運用しているかどうか、特にクラシックWebクライアントがまだ使用されているかどうかに依存します。ほとんどの人は、管理者がパッチを適用するのを待つ以外に何もする必要はありません。しかし、管理者やITチームにとっては、これは即座に対応すべき事項です。

実践すべきポイント

  • Zimbraの展開環境がZCS 10.0.18、10.1.13以降を実行していることを確認してください。それより前のバージョンはCVE-2025-66376の影響を受けます。
  • 組織がまだクラシックWebクライアントに依存している場合は、予定されていた最新インターフェースへの移行スケジュールよりもパッチ適用を優先してください。
  • パッチ適用後、最近の認証ログに異常がないか確認し、脆弱性の影響を受けていた期間にアクティブだったアカウントのセッショントークンのローテーションを検討してください。
  • 不審なアクティビティの痕跡があるアカウントの2FAスクラッチコードを再発行してください。盗まれたバックアップコードは二要素認証を完全に回避できるためです。
  • 今後は、メールプロバイダーから提供される保存型XSSのアドバイザリを高い優先度で扱ってください。Zimbraのレガシークライアントが緊急のサニタイズ修正を必要としたのは今回が初めてではないからです。

このような脆弱性に先手を打つには、定期的なパッチ適用の規律と、組織が日常的に実際に使用しているWebクライアントを正確に把握することが重要です。今すぐZimbraのバージョンを確認する数分の時間は、後で侵害されたメールボックスから復旧するコストに比べればはるかに安上がりです。