Уязвимость нулевого дня, срабатывающая в момент открытия письма

Недавно раскрытая уязвимость в Zimbra Collaboration Suite вынуждает ИТ-специалистов и обычных пользователей пересмотреть степень доверия к интерфейсу своего почтового клиента. Уязвимость, получившая идентификатор CVE-2025-66376, представляет собой хранимую межсайтовую скриптовую ошибку (XSS) в классическом интерфейсе Zimbra, которая активируется, как только жертва просматривает вредоносное письмо. Не требуется открывать вложение или переходить по ссылке. Достаточно самого предварительного просмотра сообщения, чтобы злоумышленник получил точку опоры внутри почтового ящика.

Хранимые XSS-уязвимости особенно опасны, потому что вредоносный код находится внутри содержимого, которое сервер считает легитимным, в данном случае — внутри тела письма. Как только классический интерфейс Zimbra отрисовывает это письмо, скрипт атакующего выполняется внутри аутентифицированной сессии жертвы, наследуя все права и разрешения, которыми эта сессия уже обладает.

Как работает атака и что похищается

Согласно раскрытой информации, уязвимость позволяет злоумышленникам похищать CSRF-токены, извлекать коды восстановления двухфакторной аутентификации и даже создавать пароли приложений для учетной записи жертвы — и всё это без какого-либо дополнительного взаимодействия, кроме первоначального просмотра письма. Каждое из этих последствий серьёзно само по себе, а вместе они открывают практически полный путь к захвату учётной записи.

CSRF-токены предназначены для проверки того, что запросы к веб-приложению действительно исходят от авторизованного пользователя. Если злоумышленник может извлечь такой токен с помощью внедрённого скрипта, он потенциально способен выполнять действия от имени жертвы без необходимости ввода пароля. Коды восстановления двухфакторной аутентификации задуманы как последний рубеж защиты для восстановления доступа к учётной записи; их кража фактически нейтрализует двухфакторную аутентификацию как средство защиты. А пароли приложений, часто используемые для предоставления сторонним программам ограниченного доступа к учётной записи, дают злоумышленнику тихий и постоянный способ возвращаться в почтовый ящик, не повторяя исходную атаку и не сталкиваясь с будущими запросами безопасности.

Такая комбинация повторяет то, что уже было задокументировано в реальных атаках. Как сообщалось в нашем более раннем материале об уязвимости нулевого дня Zimbra под номером CVE-2025-66376, эта же уязвимость была связана с кампанией кибершпионажа, приписываемой российским спецслужбам, в рамках которой её использовали для незаметного извлечения почтовых данных западных организаций. Такая эксплуатация в реальных условиях подчёркивает, что перед нами не теоретическая ошибка из лабораторного отчёта — она активно применяется злоумышленниками, обладающими ресурсами и мотивацией для целевых атак на конкретные почтовые ящики.

Почему это проблема не только безопасности, но и приватности

Легко отнести уязвимости электронной почты к разряду «проблем ИТ-отдела», но последствия для приватности затрагивают каждого человека, чей почтовый ящик работает на уязвимом экземпляре классического интерфейса Zimbra. Почтовые ящики — это основа цифровой идентичности. В них хранятся ссылки для сброса паролей, финансовая переписка, юридические документы, личные беседы и те самые механизмы восстановления двухфакторной аутентификации, призванные защищать другие учётные записи. Когда злоумышленник может незаметно собирать эти данные, эксплуатируя ошибку рендеринга, ущерб распространяется далеко за пределы самого почтового сервера.

Кража кодов восстановления двухфакторной аутентификации особенно подрывает тот уровень защиты, который многие пользователи считают своей самой надёжной мерой. Двухфакторную аутентификацию часто рекомендуют как лучший способ защиты от захвата учётных записей, но эта рекомендация предполагает, что сам механизм восстановления остаётся в тайне. Уязвимость, раскрывающая такие коды одним лишь просмотром письма, незаметно разрушает это предположение, и происходит это без каких-либо признаков необычной активности для жертвы.

Подобная атака также вписывается в более широкую тенденцию, которую мы отслеживаем в своих публикациях: злоумышленники всё чаще предпочитают скрытные методы с минимальным взаимодействием вместо прямолинейного силового взлома. Точно так же, как фишинг обогнал традиционные методы эксплуатации и стал основной причиной атак программ-вымогателей, хранимые XSS-уязвимости вроде этой показывают, как атакующие эксплуатируют сам процесс чтения почты, а не полагаются на очевидные ошибки жертв.

Что это значит для вас

Если ваша организация или личная почта работают на Zimbra Collaboration Suite с классическим интерфейсом, эта уязвимость требует безотлагательного внимания. Поскольку для срабатывания эксплойта не требуется ни клика, ни загрузки, ни каких-либо явных тревожных признаков, традиционный совет «не переходите по подозрительным ссылкам» здесь почти не помогает. Ответственность смещается в сторону администраторов, которые должны оперативно применять патчи вендора, и пользователей, которым следует внимательно следить за любой необычной активностью в учётной записи: например, за появлением незнакомых паролей приложений или несвойственным поведением сессии.

Учитывая, что эта уязвимость уже была использована в целенаправленной шпионской деятельности, организации, работающие с чувствительной перепиской, — государственные подрядчики, журналисты, юридические фирмы — должны рассматривать установку исправлений как экстренную меру, а не рутинную задачу.

Практические выводы

  • Проверьте, использует ли ваша организация классический интерфейс Zimbra, и убедитесь, что патч для CVE-2025-66376 установлен или запланирован к установке.
  • Проверьте пароли приложений в своей учётной записи и отзовите те, которые вы не узнаёте или больше не используете.
  • Сбросьте коды восстановления двухфакторной аутентификации после установки патча, поскольку ранее сохранённые коды могли уже быть скомпрометированы.
  • Рассмотрите переход на современный веб-клиент Zimbra, если классический интерфейс не является необходимым для вашей работы, чтобы снизить подверженность именно этой уязвимости.
  • Отслеживайте предупреждения для администраторов от Zimbra, так как хранимые XSS-уязвимости в клиентах веб-почты, как правило, продолжают привлекать внимание злоумышленников даже после выхода первоначальных исправлений.

Эта уязвимость нулевого дня в Zimbra служит напоминанием о том, что даже рутинные действия вроде открытия письма могут нести скрытый риск, если в программном обеспечении есть неустранённые недостатки. Своевременное обновление и столь же внимательное отношение к настройкам безопасности почтового ящика, как и к банковскому счёту, помогут значительно сократить этот разрыв.