Zimbra の蓄積型 XSS の脆弱性 CVE-N/A が FIX：Classic Web Client でのスクリプト実行の恐れ

Zimbra Releases Security Patch for Stored XSS Vulnerability in Classic Web Client

2026/07/11 gbhackers — Zimbra は Daffodil v10.1.19 パッチ・アップデートをリリースし、同プラットフォームの Classic Web Client に存在する蓄積型 Cross-Site Scripting (XSS) の脆弱性 CVE-N/A に対処した。このセキュリティ問題により、特別に細工されたメール・メッセージが、ログイン済み受信者の Web メール・セッションのコンテキスト内で、悪意の JavaScript を実行する可能性がある。

この 2026年7月7日にリリースされたアップデートでは、更新された zimbra-patch および zimbra-mbox-webclient-war パッケージを通じて修正内容が提供される。現時点での Zimbra のリリースノートには、この脆弱性に関する CVE 識別子と CVSS スコアが公表されていない。

XSS 脆弱性に対するセキュリティパッチ

蓄積型 XSS の欠陥により、標的のメールボックスへ配信されるメッセージに、悪意のコンテンツが埋め込まれるため、Web メール環境に深刻な結果が生じ得る。

通常の反射型 XSS 攻撃とは異なり、影響を受けるアプリケーションに悪意の XSS ペイロードが保持されるため、被害者による悪意の URL へのアクセスは不要となる。つまり、脆弱なインターフェイス上でユーザーが細工されたメールを開くだけで、また、プレビューするだけで、攻撃が実行される可能性がある。

この Zimbra のケースでは、悪用に成功した攻撃者が、影響を受けるユーザーの Classic Web Client セッションのセキュリティ・コンテキスト下で、スクリプトを実行する可能性がある。

ブラウザの保護機能／アプリケーション制御／セッション権限に応じて、このようなスクリプト実行により、メールボックス内容の露出／Web インターフェイスを介した不正なアクションの実行／悪意のプロンプトなどへのユーザーの誘導などが引き起こされる恐れがある。

Zimbra Daffodil v10.1.19 リリースに含まれるパッチ適用済みパッケージは、以下のとおりである。

  • zimbra-patch バージョン 10.1.19.1783177840-2
  • zimbra-mbox-webclient-war バージョン 10.1.19.1783175257-1

さらに Zimbra は、既存の SNMP 緩和策に関連するアップグレード・ガイダンスも提供している。ZCS 10.1.x デプロイメントからアップグレードするユーザーにおいて、以前に SNMP 緩和策が適用されている場合には、追加の対応は不要である。

ユーザーのシステムがバージョン 10.1.19 へアップグレードされた後も、この緩和策が有効であり続けることを、Zimbra は確認している。その一方で、ZCS 10.0.x／9.0.x／8.8.15 から移行する組織は、ZCS 10.1.19 へアップグレードした後に、SNMP 緩和策の更新と再適用が必要となる。

影響を受ける管理者に対して Zimbra が求めているのは、アップグレード完了後に、同社の Security Advisory に含まれる改訂済みの緩和手順に従うことである。なお、デプロイメントに関する支援／説明を必要とするユーザーは、Zimbra に対して Support チケットを作成できる。

セキュリティ・チームにとって必要なことは、特に Classic Web Client が有効化され、ユーザーからアクセス可能な環境において、Daffodil 10.1.19 更新を優先することだ。また、クライアント側の悪用を示す可能性がある、異常なメールボックスの挙動／予期しないセッション・アクティビティ／不審なリクエストについて、管理者は Web メール・アクセスログを確認すべきである。

訳者後書：Zimbra の提供するメール・システムですが、受信したメールを表示する処理の隙を突かれ、ブラウザ上で不正なプログラムが実行されるという問題が見つかりました。悪意のメールを開くだけで、セッション情報の窃取や第三者による操作などが引き起こされる恐れがあります。今回の CVE-N/A として追跡されている脆弱性への対策は、最新パッチが適用された Daffodil v10.1.19 以降へアップデートすることです。更新作業の実施とともに、不審なメールに対する検知ルールの強化や、セッションログにおける異常なアクセスの確認なども、被害を防ぐために役立ちます。よろしければ、Zimbra での検索結果も、ご参照ください。