CVE-2025-27915
Synacor Zimbra Collaboration Suite (ZCS) Cross-site Scripting Vulnerability
Beschreibung
CVE-2025-27915 ist eine Stored Cross-Site Scripting (XSS) Schwachstelle in Zimbra Collaboration Suite (ZCS) Versionen 9.0, 10.0 und 10.1. Die Sicherheitsluecke befindet sich im Classic Web Client und wird durch eine unzureichende Sanitisierung von HTML-Inhalten in ICS-Dateien (Kalendereinladungen) verursacht. Ein Angreifer kann schadhaftes JavaScript in eine ICS-Datei einbetten, das beim Betrachten der E-Mail automatisch ausgefuehrt wird. Mit einem CVSS-Score von 5.4 (MEDIUM) und einer EPSS-Wahrscheinlichkeit von 27,69 % (96,3. Perzentil) ist die Schwachstelle im CISA KEV-Katalog gelistet.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| synacor | zimbra collaboration suite | >= 10.0.0, < 10.0.13; >= 10.1.0, < 10.1.5; 9.0.0 |
Referenzen
- https://wiki.zimbra.com/wiki/Security_Center(Release Notes)
- https://wiki.zimbra.com/wiki/Zimbra_Releases/10.0.13#Security_Fixes(Release Notes)
- https://wiki.zimbra.com/wiki/Zimbra_Releases/10.1.5#Security_Fixes(Release Notes)
- https://wiki.zimbra.com/wiki/Zimbra_Releases/9.0.0/P44#Security_Fixes(Release Notes)
- https://strikeready.com/blog/0day-ics-attack-in-the-wild/(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-27915(US Government Resource)
Schwachstellentyp
CWE-79: Improper Neutralization of Input During Web Page Generation (Cross-site Scripting)
CWE-79 beschreibt eine Schwachstelle, bei der eine Webanwendung Benutzereingaben nicht ausreichend bereinigt, bevor sie in die generierte HTML-Seite eingebettet werden. Dies ermoeglicht es einem Angreifer, schadhaftes JavaScript einzuschleusen, das im Browser anderer Benutzer ausgefuehrt wird. Im Fall von CVE-2025-27915 wird der HTML-Inhalt von ICS-Kalendereintraegen im Zimbra Classic Web Client nicht korrekt sanitisiert, wodurch ein ontoggle-Event-Handler innerhalb eines details-HTML-Tags zur Codeausfuehrung genutzt werden kann. Als Stored XSS bleibt der schadhafte Code persistent auf dem Server gespeichert und wird bei jedem Aufruf erneut ausgefuehrt.
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-27915 betreffen primaer die Vertraulichkeit und Integritaet des Zimbra-Webmail-Systems, die jeweils mit LOW bewertet sind. Obwohl der CVSS-Score mit 5.4 als MEDIUM eingestuft ist, ergibt sich die tatsaechliche Gefaehrlichkeit aus dem Angriffskontext: Vertraulichkeit (LOW) -- ein Angreifer kann Sitzungscookies, E-Mail-Inhalte und andere im Browser verfuegbare Daten des Opfers abgreifen. Integritaet (LOW) -- der Angreifer kann im Namen des Opfers Aktionen ausfuehren, etwa E-Mails versenden, Weiterleitungsregeln erstellen oder Kontoeinstellungen aendern. Scope (S:C -- Changed) -- die Auswirkungen erstrecken sich ueber die verwundbare Komponente hinaus und koennen andere Benutzer und Systeme betreffen. Die EPSS-Bewertung von 27,69 % im 96,3. Perzentil ist ausserordentlich hoch fuer eine XSS-Schwachstelle und deutet auf breite aktive Ausnutzung hin. Die KEV-Listung mit Frist bis zum 28.10.2025 bestaetigt die aktive Bedrohungslage. In einem Unternehmensumfeld kann die Kompromittierung von E-Mail-Konten ueber XSS als Ausgangspunkt fuer weitreichende Spear-Phishing-Kampagnen, Datenexfiltration und laterale Bewegung im Netzwerk dienen. Der Ransomware-Status ist als Unknown klassifiziert.
Exploit-Reifegrad
CVE-2025-27915 weist eine hohe Exploit-Reife auf. Die Schwachstelle ist im CISA KEV-Katalog gelistet (Frist: 28.10.2025), was aktive Ausnutzung in freier Wildbahn bestaetigt. Die EPSS-Bewertung von 27,69 % (96,3. Perzentil) ist fuer eine XSS-Schwachstelle ungewoehnlich hoch und deutet auf weit verbreitete Exploitation hin. Ein detaillierter technischer Bericht ueber die 0-Day-Ausnutzung ist auf StrikeReady verfuegbar, der die Schwachstelle als in-the-wild Angriff ueber manipulierte ICS-Kalendereinladungen dokumentiert. Die Angriffsmethode ueber E-Mail-Anhaenge macht die Schwachstelle besonders effektiv, da Kalendereinladungen haeufig routinemaessig geoeffnet werden. Der Ransomware-Missbrauch ist bisher nicht bestaetigt, jedoch ist die Schwachstelle als Einstiegspunkt fuer gezielte Angriffe auf Unternehmens-E-Mail-Systeme bestens geeignet.
Behebung
-
Zimbra Collaboration Suite aktualisieren: Aktualisieren Sie umgehend auf eine gepatchte Version: ZCS 10.0.13, 10.1.5 oder 9.0.0 Patch 44. Die Release Notes mit den Sicherheitsfixes sind verfuegbar fuer ZCS 10.0.13, ZCS 10.1.5 und ZCS 9.0.0 P44.
-
Classic Web Client deaktivieren oder einschraenken: Da die Schwachstelle spezifisch den Classic Web Client betrifft, koennen Sie als Sofortmassnahme den Zugriff auf den Classic Web Client einschraenken oder Benutzer auf den modernen Web Client umstellen, sofern dieser von der Schwachstelle nicht betroffen ist.
-
E-Mail-Filterregeln implementieren: Konfigurieren Sie serverseitige E-Mail-Filterregeln, die verdaechtige ICS-Anhaenge mit ungewoehnlichen HTML-Inhalten (insbesondere details-Tags mit ontoggle-Attributen) blockieren oder in Quarantaene verschieben.
-
Content Security Policy (CSP) verstaerken: Implementieren Sie eine strikte Content Security Policy fuer den Zimbra Web Client, die die Ausfuehrung von Inline-JavaScript unterbindet. Dies kann die Auswirkungen von XSS-Schwachstellen erheblich reduzieren, selbst wenn die Sanitisierung versagt.
-
Benutzer sensibilisieren und Logs pruefen: Informieren Sie Benutzer ueber die Gefahr manipulierter Kalendereinladungen und pruefen Sie die Zimbra-Zugriffsprotokolle auf Anzeichen einer bereits erfolgten Ausnutzung, insbesondere ungewoehnliche JavaScript-Ausfuehrung oder verdaechtige Sitzungsaktivitaeten.
Technische Details
Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N ergibt einen Score von 5.4 (MEDIUM). Die Metriken im Detail: Angriffsvektor (AV:N) -- der Angriff erfolgt ueber das Netzwerk durch Versenden einer E-Mail mit manipuliertem ICS-Anhang. Angriffskomplexitaet (AC:L) -- die Erstellung des Exploits ist unkompliziert. Erforderliche Berechtigungen (PR:L) -- der Angreifer benoetigt ein gueltiges Zimbra-Konto, um E-Mails versenden zu koennen. Benutzerinteraktion (UI:R) -- das Opfer muss die E-Mail im Classic Web Client oeffnen und betrachten. Scope (S:C) -- die Auswirkungen gehen ueber die verwundbare Komponente hinaus, da das ausgefuehrte JavaScript im Kontext des Opfer-Browsers laeuft. Vertraulichkeit und Integritaet (C:L/I:L) -- eingeschraenkter Zugriff auf Daten und begrenzte Manipulationsmoeglichkeiten. Der Angriffsmechanismus nutzt eine Luecke in der HTML-Sanitisierung von ICS-Kalendereintraegen im Zimbra Classic Web Client. Ein Angreifer erstellt eine E-Mail mit einem manipulierten ICS-Anhang, der einen schadhaften HTML-Block enthaelt. Konkret wird ein details-HTML-Tag mit einem ontoggle-Event-Handler eingebettet, das beim Rendern der E-Mail im Browser automatisch ausgeloest wird. Da der Classic Web Client den HTML-Inhalt des ICS-Eintrags nicht ausreichend bereinigt, wird das eingebettete JavaScript im Sicherheitskontext des angemeldeten Zimbra-Benutzers ausgefuehrt. Als Stored XSS bleibt der schadhafte Code in der E-Mail persistent gespeichert und wird bei jedem erneuten Oeffnen der Nachricht ausgefuehrt.
Häufig gestellte Fragen
Was ist CVE-2025-27915 und wie funktioniert der Angriff?
CVE-2025-27915 ist eine Stored XSS-Schwachstelle im Zimbra Classic Web Client. Der Angriff funktioniert ueber manipulierte ICS-Kalendereinladungen, die per E-Mail versendet werden. Wenn ein Opfer die E-Mail im Classic Web Client oeffnet, wird eingebettetes JavaScript automatisch ausgefuehrt, das Sitzungsdaten stehlen oder Aktionen im Namen des Opfers ausfuehren kann.
Welche Zimbra-Versionen sind betroffen?
Betroffen sind Zimbra Collaboration Suite 9.0.0 (vor Patch 44), 10.0.0 bis 10.0.12 und 10.1.0 bis 10.1.4. Die gepatchten Versionen sind 9.0.0 P44, 10.0.13 und 10.1.5. Pruefen Sie Ihre installierte Version in der Zimbra-Administrationskonsole.
Warum hat eine MEDIUM-Schwachstelle eine so hohe EPSS-Bewertung?
Die hohe EPSS-Bewertung von 27,69 % erklaert sich durch die einfache Ausnutzbarkeit und die weite Verbreitung von Zimbra als E-Mail-Server. Trotz des moderaten CVSS-Scores ist die Schwachstelle als Einstiegspunkt fuer gezielte Angriffe auf Unternehmens-E-Mail-Systeme aeusserst attraktiv, insbesondere da E-Mails routinemaessig geoeffnet werden.
Ist nur der Classic Web Client betroffen?
Ja, die Schwachstelle betrifft spezifisch den Classic Web Client von Zimbra. Der moderne Web Client ist nach aktuellem Kenntnisstand nicht betroffen. Als Sofortmassnahme koennen Administratoren Benutzer auf den modernen Web Client umstellen, waehrend das Sicherheitsupdate eingespielt wird.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.