En null-dag som utløses i det øyeblikket du åpner en e-post

En nylig avslørt sårbarhet i Zimbra Collaboration Suite tvinger IT-team og vanlige brukere til å revurdere hvor mye tillit de legger i e-postklientens brukergrensesnitt. Spores som CVE-2025-66376, er feilen en lagret cross-site scripting (XSS)-sårbarhet i Zimbras Classic UI som aktiveres så snart et offer ser en ondsinnet e-post. Ingen vedlegg trenger å åpnes, ingen lenke trenger å klikkes. Bare det å forhåndsvise meldingen er nok til å gi en angriper fotfeste i e-postkontoen.

Lagrede XSS-sårbarheter er spesielt farlige fordi den ondsinnede koden ligger innehold som serveren anser som legitimt, i dette tilfellet e-postmeldingens brødtekst. Når Zimbras Classic UI viser den e-posten, kjører angriperens skript i offerets autentiserte økt, og arver den tilgangen og rettighetene økten allerede har.

Hvordan angrepet fungerer og hva som blir stjålet

Ifølge avsløringen gjør feilen det mulig for angripere å stjele CSRF-tokens, hente ut 2FA-gjenopprettingskoder og til og med opprette app-spesifikke passord for offerets konto – alt uten annen interaksjon enn den første e-postvisningen. Hver av disse konsekvensene er alvorlig alene, men sammen utgjør de en nærmest fullstendig overtagelse av kontoen.

CSRF-tokens skal bekrefte at forespørsler til en webapplikasjon faktisk stammer fra den innloggede brukeren. Hvis en angriper kan fange opp dette tokenet via injisert skript, kan de potensielt utføre handlinger på vegne av offeret uten å trenge passord. 2FA-gjenopprettingskoder skal være en siste sikkerhetsmekanisme for kontogjenoppretting; å stjele dem nøytraliserer i praksis tofaktorautentisering som beskyttelse. Og app-spesifikke passord, som ofte brukes til å gi tredjepartsapper begrenset kontotilgang, gir angripere en stille, vedvarende vei tilbake til e-postkontoen uten å måtte gjenta den opprinnelige utnyttelsen eller håndtere fremtidige sikkerhetsspørsmål.

Denne kombinasjonen speiler det som allerede er dokumentert i praksis. Som vi tidligere rapporterte om Zimbra-nulldagen sporet som CVE-2025-66376, har den samme sårbarheten blitt koblet til en russisk statstilknyttet spionasjekampanje som brukte den til å stille å hente ut e-postdata fra vestlige organisasjoner. Denne reelle utnyttelsen understreker at dette ikke er et teoretisk feil i en laboratorierapport – den er aktivt nyttig for angripere med ressurser og motivasjon til å målrette spesifikke e-postkontoer.

Hvorfor dette er et personvernproblem, ikke bare et sikkerhetsproblem

Det er fristende å plassere e-postsårbarheter under «IT-avdelingens problem», men personvernkonsekvensene her når alle hvis e-postkonto kjører på en sårbar Zimbra Classic UI-instans. E-postinnbokser er ryggraden i digital identitet. De lagrer tilbakestillingslenker for passord, finansiell korrespondanse, juridiske dokumenter, personlige samtaler og selve 2FA-gjenopprettingsmekanismene som er ment å beskytte andre kontoer. Når en angriper kan høste disse dataene lydløst ved å utnytte en gjengivelsesfeil, strekker skaden seg langt utover e-postserveren selv.

Spesielt tyveri av 2FA-gjenopprettingskoder undergraver et sikkerhetslag som mange brukere anser som sin sterkeste beskyttelse. Tofaktorautentisering anbefales ofte som det beste forsvaret mot kontoovertakelse, men den anbefalingen forutsetter at gjenopprettingsmekanismen i seg selv holder seg skjult. En sårbarhet som avslører disse kodene uten noe annet enn å se en e-post, undergraver stillferdig den forutsetningen, og det uten at offeret merker at noe uvanlig har skjedd.

Denne typen angrep passer også inn i et bredere mønster vår rapportering har fulgt: angripere foretrekker i stadig større grad snikende metoder med lav interaksjon fremfor brute force-inntrengning. Akkurat som phishing har tatt over tradisjonell utnyttelse som den ledende årsaken til løsepengeangrep, viser lagrede XSS-sårbarheter som denne hvordan angripere utnytter den daglige handlingen å lese e-post i stedet for å stole på at offeret gjør en opplagt feil.

Hva dette betyr for deg

Hvis organisasjonen eller din personlige e-post kjører på Zimbra Collaboration Suite med Classic UI, fortjener denne sårbarheten umiddelbar oppmerksomhet. Fordi utnyttelsen ikke krever klikk, nedlasting eller åpenbare faresignaler, gir tradisjonelle råd som «ikke klikk på mistenkelige lenker» lite beskyttelse her. Ansvaret skifter til at administratorer bruker leverandørens oppdateringer umiddelbart, og at brukere er på vakt for uvanlig kontoaktivitet, som ukjente app-spesifikke passord eller uventet sesjonsadferd.

Gitt at denne feilen allerede har blitt koblet til målrettet spionasjeaktivitet, bør organisasjoner som håndterer sensitiv kommunikasjon – offentlige entreprenører, journalister, advokatfirmaer – behandle oppdatering som kritisk og ikke bare rutine.

Praktiske tiltak

  • Sjekk om organisasjonen din bruker Zimbra Classic UI, og bekreft om en oppdatering for CVE-2025-66376 er installert eller venter.
  • Gjennomgå kontoens app-spesifikke passord og trekk tilbake de du ikke gjenkjenner eller ikke lenger bruker.
  • Tilbakestill 2FA-gjenopprettingskoder etter oppdatering, siden tidligere lagrede koder allerede kan ha blitt eksponert.
  • Vurder å bytte til Zimbras moderne nettklient hvis Classic UI ikke er avgjørende for arbeidsflyten din, for å redusere eksponeringen mot denne spesifikke sårbarheten.
  • Følg med på råd fra Zimbra for administratorer, siden lagrede XSS-sårbarheter i webmail-klienter har en tendens til å tiltrekke seg fortsatt angriperinteresse selv etter at de første oppdateringene er lansert.

Denne Zimbra-nulldagen er en påminnelse om at selv rutinehandlinger som å åpne en e-post kan bære skjult risiko når den underliggende programvaren har uadresserte svakheter. Å holde seg oppdatert på patcher og behandle e-postkontoens sikkerhetsinnstillinger med samme grundighet som bankkontoen din, kan bidra stort til å tette det gapet.