CVE-2024-27443
Synacor Zimbra Collaboration Suite (ZCS) Cross-Site Scripting (XSS) Vulnerability
Beschreibung
CVE-2024-27443 ist eine Cross-Site-Scripting-Schwachstelle (XSS) in Synacor Zimbra Collaboration Suite (ZCS) 9.0 und 10.0. Die Schwachstelle befindet sich in der CalendarInvite-Funktion der klassischen Webmail-Oberflaeche und wird durch eine unzureichende Eingabevalidierung bei der Verarbeitung von Kalender-Headern verursacht. Ein Angreifer kann ueber eine speziell praeparierte E-Mail mit einem manipulierten Kalender-Header beliebigen JavaScript-Code im Browser des Opfers ausfuehren, wenn dieses die Nachricht in der klassischen Zimbra-Webmail-Oberflaeche oeffnet.
Mit einem CVSS v3.1-Score von 6.1 (MEDIUM) und einem EPSS-Score von 30.11 % (96. Perzentil) gehoert CVE-2024-27443 zu den am staerksten ausgenutzten Schwachstellen. Die CISA hat diese Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 9. Juni 2025. Zimbra ist als weit verbreitete E-Mail- und Collaboration-Plattform ein bevorzugtes Ziel fuer Angreifer.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| zimbra | collaboration | >= 10.0.0, < 10.0.7; 9.0.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Referenzen
- https://wiki.zimbra.com/wiki/Zimbra_Releases/10.0.7#Security_Fixes(Release Notes)
- https://wiki.zimbra.com/wiki/Zimbra_Releases/9.0.0/P39#Security_Fixes(Release Notes)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-27443(US Government Resource)
- https://www.welivesecurity.com/en/eset-research/operation-roundpress/(Press/Media Coverage)
Schwachstellentyp
CWE-79: Cross-site Scripting (XSS)
CVE-2024-27443 basiert auf CWE-79 (Cross-site Scripting), einer der verbreitetsten Schwachstellenklassen in Webanwendungen. Bei XSS werden benutzergesteuerte Eingaben nicht ausreichend neutralisiert, bevor sie in Webseiten eingebettet werden. Im Fall von Zimbra Collaboration Suite wird der Kalender-Header in eingehenden E-Mails nicht ordnungsgemaess bereinigt, sodass eingebetteter JavaScript-Code im Kontext der Webmail-Sitzung des Opfers ausgefuehrt wird.
Weitere Informationen: CWE-79 -- Cross-site Scripting
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-27443 betreffen primaer die Vertraulichkeit und Integritaet der Benutzersitzung. Der CVSS-Vektor zeigt, dass die Schwachstelle ueber das Netzwerk (AV:N) mit niedriger Komplexitaet (AC:L) ausnutzbar ist, wobei keine Authentifizierung erforderlich ist (PR:N), jedoch eine Benutzerinteraktion noetig ist (UI:R) -- das Opfer muss die manipulierte E-Mail in der klassischen Webmail-Oberflaeche oeffnen. Der Scope ist als Changed (S:C) eingestuft, was bedeutet, dass die Schwachstelle Auswirkungen ueber die verwundbare Komponente hinaus haben kann. Vertraulichkeit (Low): Ein Angreifer kann Session-Cookies, Authentifizierungs-Tokens und andere vertrauliche Informationen aus dem Browser des Opfers extrahieren. Integritaet (Low): Der Angreifer kann Aktionen im Namen des Benutzers ausfuehren, E-Mails lesen oder senden und die Darstellung der Webmail-Oberflaeche manipulieren. Der hohe EPSS-Score von 30.11 % im 96. Perzentil zeigt eine sehr hohe Wahrscheinlichkeit aktiver Ausnutzung an, insbesondere im Kontext gezielter Spionageoperationen gegen Regierungs- und Militaereinrichtungen.
Exploit-Reifegrad
CVE-2024-27443 weist eine hohe Exploit-Reife auf. Die CISA hat die Schwachstelle im KEV-Katalog als aktiv ausgenutzt gefuehrt, mit einer Behebungsfrist bis zum 9. Juni 2025. Der EPSS-Score von 30.11 % (96. Perzentil) zeigt, dass diese Schwachstelle zu den Top 4 % der am staerksten ausgenutzten Schwachstellen weltweit gehoert. Laut Sicherheitsforschern von ESET wurde CVE-2024-27443 im Rahmen der Operation RoundPress aktiv ausgenutzt, einer Cyberspionage-Kampagne, die gezielt Webmail-Schwachstellen bei Regierungs- und Militaereinrichtungen angreift. Die Schwachstelle erfordert lediglich, dass ein Opfer eine praeparierte E-Mail in der klassischen Zimbra-Oberflaeche oeffnet, was die Einstiegshuerde fuer Angreifer sehr niedrig macht.
Behebung
-
Update auf gepatchte Version installieren: Aktualisieren Sie Zimbra Collaboration Suite auf Version 10.0.7 oder hoeher bzw. installieren Sie den Patch 39 fuer ZCS 9.0.0, die die XSS-Schwachstelle in der CalendarInvite-Verarbeitung beheben.
-
Klassische Webmail-Oberflaeche einschraenken: Ueberpruefen Sie, ob Benutzer die moderne Webmail-Oberflaeche anstelle der klassischen Ansicht verwenden koennen, da die Schwachstelle spezifisch die klassische Oberflaeche betrifft. Deaktivieren Sie die klassische Ansicht, wenn diese nicht zwingend benoetigt wird.
-
E-Mail-Filterung verstaerken: Implementieren Sie zusaetzliche E-Mail-Filterregeln, die verdaechtige Kalender-Header in eingehenden Nachrichten erkennen und blockieren. Konfigurieren Sie Ihre E-Mail-Gateway-Loesung, um JavaScript-Inhalte in Kalendereinladungen zu filtern.
-
Content Security Policy implementieren: Setzen Sie restriktive CSP-Header fuer die Zimbra-Weboberflaeche, um die Ausfuehrung von Inline-Skripten und nicht autorisierten Skriptquellen zu unterbinden.
-
Sitzungsueberwachung aktivieren: Ueberpruefen Sie Zugangsprotokolle auf ungewoehnliche Sitzungsaktivitaeten und implementieren Sie Monitoring fuer verdaechtige Webmail-Zugriffe, die auf eine Kompromittierung durch XSS hindeuten koennten.
Technische Details
CVE-2024-27443 betrifft die CalendarInvite-Funktion in der klassischen Webmail-Oberflaeche von Zimbra Collaboration Suite. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N zeigt, dass der Angriff ueber das Netzwerk ohne Authentifizierung durchfuehrbar ist, jedoch eine Benutzerinteraktion erfordert -- das Opfer muss die manipulierte E-Mail oeffnen. Die Schwachstelle entsteht durch eine unzureichende Sanitisierung von Eingaben im Kalender-Header eingehender E-Mails. Wenn ein Angreifer eine E-Mail mit einem speziell praeparierten Kalender-Header sendet, der einen XSS-Payload enthaelt, wird dieser Code im Kontext der Webmail-Sitzung des Empfaengers ausgefuehrt. Der Scope ist als Changed (S:C) klassifiziert, da die JavaScript-Ausfuehrung ueber die verwundbare Kalenderkomponente hinaus die gesamte Webmail-Sitzung beeinflussen kann. Betroffen sind Zimbra Collaboration Versionen ab 10.0.0 bis vor 10.0.7 sowie Version 9.0.0 ohne Patch 39.
Häufig gestellte Fragen
Wird CVE-2024-27443 aktiv ausgenutzt?
Ja, CVE-2024-27443 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, und Sicherheitsforscher von ESET haben die aktive Ausnutzung im Rahmen der Operation RoundPress dokumentiert, einer gezielten Cyberspionage-Kampagne. Der EPSS-Score von 30.11 % bestaetigt die hohe Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2024-27443 betroffen?
Betroffen sind Zimbra Collaboration Suite (ZCS) Version 10.0.0 bis vor 10.0.7 sowie Version 9.0.0. Die Schwachstelle betrifft spezifisch die CalendarInvite-Funktion in der klassischen Webmail-Oberflaeche.
Wie behebe ich CVE-2024-27443?
Aktualisieren Sie Zimbra Collaboration Suite auf Version 10.0.7 oder hoeher bzw. installieren Sie Patch 39 fuer ZCS 9.0.0. Als zusaetzliche Massnahme sollten Sie die klassische Webmail-Oberflaeche deaktivieren und restriktive Content Security Policies implementieren.
Wie schwerwiegend ist CVE-2024-27443?
CVE-2024-27443 hat einen CVSS-Score von 6.1 (MEDIUM). Trotz der mittleren Einstufung ist die tatsaechliche Bedrohung hoch, da die Schwachstelle aktiv in gezielten Spionageoperationen ausgenutzt wird und der EPSS-Score von 30.11 % sie im 96. Perzentil platziert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.