Uma Falha de XSS Armazenado Escondida à Vista de Todos

Uma vulnerabilidade recém-divulgada no Zimbra Collaboration Suite está fazendo as equipes de segurança verificarem seus logs de patch duas vezes. Rastreada como CVE-2025-66376, a falha é um problema de cross-site scripting (XSS) armazenado no Classic Web Client, a interface mais antiga baseada em HTML ainda utilizada por muitas implantações do Zimbra juntamente com o aplicativo web moderno.

O que torna esse bug notável é o quão pouco a vítima precisa fazer para ativá-lo. De acordo com a divulgação, simplesmente abrir um e-mail malicioso na interface Classic é suficiente para executar código controlado pelo invasor dentro da sessão autenticada de webmail da vítima. A partir daí, o invasor pode extrair tokens de sessão, senhas armazenadas no navegador e até mesmo códigos de recuperação de autenticação de dois fatores, os códigos de backup que os usuários utilizam quando seu método principal de 2FA não está disponível.

Como o Ataque Funciona

Vulnerabilidades de XSS armazenado são particularmente perigosas porque a carga maliciosa não precisa ser clicada ou baixada separadamente. Ela é incorporada diretamente no conteúdo que o cliente de e-mail renderiza automaticamente, neste caso por meio de diretivas de Cascading Style Sheets (CSS) inseridas em um e-mail. O Classic Web Client do Zimbra não conseguiu sanitizar adequadamente esse conteúdo, permitindo que o CSS executasse JavaScript no contexto da sessão da caixa de correio do usuário logado.

Uma vez que esse código é executado, ele herda tudo a que a sessão da vítima já tem acesso. É isso que permite que ele alcance além da caixa de entrada e obtenha tokens de autenticação, credenciais armazenadas em cache no navegador e códigos de recuperação 2FA salvos para recuperação de conta. Na prática, isso transforma um único e-mail aberto em uma potencial tomada de conta completa, sem que a vítima insira uma senha ou clique em um link suspeito.

Esta não é a primeira vez que o manuseio de conteúdo incorporado pelo Classic Web Client causa problemas. O Zimbra já teve que corrigir problemas semelhantes de sanitização de HTML e arquivos ICS na mesma interface, um padrão que destaca por que organizações que ainda utilizam o cliente legado enfrentam exposição recorrente até que apliquem patches de forma agressiva ou migrem completamente para longe dele.

Quem Precisa Agir

A vulnerabilidade afeta o Zimbra Collaboration (ZCS) 10 anterior à versão 10.0.18 e 10.1 anterior à versão 10.1.13. O Zimbra lançou builds corrigidos, e o próprio aviso de segurança da empresa descreve o patch como abordando uma falha crítica de XSS armazenado no Classic Web Client. Organizações que executam versões afetadas devem tratar isso como uma atualização prioritária, em vez de algo para agendar na próxima janela de manutenção de rotina, uma vez que a exploração não requer interação do usuário além de abrir um e-mail.

Como a falha reside no acesso em nível de sessão, apenas aplicar o patch pode não ser suficiente se uma conta já foi comprometida antes da atualização. Os administradores também devem considerar auditar a atividade recente de login, rotacionar tokens de sessão e reemitir códigos de recuperação 2FA para contas que tiveram acesso à interface Classic enquanto a vulnerabilidade não estava corrigida.

O Que Isso Significa Para Você

Se você usa webmail do Zimbra, seja como indivíduo, pequena empresa ou como parte da infraestrutura de e-mail de uma organização maior, esta vulnerabilidade é um lembrete de que tokens de autenticação e códigos de backup são tão seguros quanto o software que renderiza sua caixa de entrada. A autenticação de dois fatores é uma forte defesa contra ataques baseados em senha, mas um bug de XSS armazenado que pode extrair códigos de recuperação diretamente de uma sessão do navegador mostra que 2FA não é uma bala de prata se o próprio cliente web subjacente estiver comprometido.

Para usuários comuns, o risco prático depende se o seu provedor de e-mail ou departamento de TI executa o Zimbra e, especificamente, se o Classic Web Client ainda está em uso. A maioria das pessoas não precisará fazer nada além de esperar que o administrador aplique o patch. Para administradores e equipes de TI, no entanto, este é um item de ação imediata.

Recomendações Acionáveis

  • Confirme se a sua implantação do Zimbra está executando o ZCS 10.0.18, 10.1.13 ou posterior; qualquer versão anterior está exposta ao CVE-2025-66376.
  • Se sua organização ainda depende do Classic Web Client, priorize a aplicação do patch em detrimento do cronograma de migração para a interface moderna que você possa ter planejado.
  • Após a aplicação do patch, revise logs de autenticação recentes em busca de anomalias e considere rotacionar tokens de sessão para contas que estavam ativas durante a janela de exposição.
  • Reemita códigos de recuperação 2FA para quaisquer contas com sinais de atividade suspeita, pois códigos de backup roubados podem contornar completamente as proteções de dois fatores.
  • Trate avisos de XSS armazenado do seu provedor de e-mail como alta prioridade daqui para frente, uma vez que esta não é a primeira vez que o cliente legado do Zimbra precisou de correções emergenciais de sanitização.

Manter-se à frente de vulnerabilidades como esta se resume à disciplina rotineira de patches e saber exatamente qual cliente web sua organização realmente usa no dia a dia. Alguns minutos gastos confirmando sua versão do Zimbra agora são muito mais baratos do que se recuperar de uma caixa de correio comprometida depois.