Kritische Zimbra-Lücke: Schädliche E-Mail führt Code im Postfach aus

Im weit verbreiteten E-Mail- und Groupware-System Zimbra Collaboration steckt eine kritische Schwachstelle im sogenannten Classic Web Client. Eine speziell präparierte E-Mail kann bereits beim Öffnen Schadcode in der Sitzung des Empfängers ausführen. Der Hersteller hat die Lücke mit der Version 10.1.19 geschlossen.

Was ist passiert?

Zimbra hat in seinen Sicherheitshinweisen eine als kritisch eingestufte Schwachstelle im Classic Web Client von Zimbra Collaboration Suite (ZCS) bestätigt. Es handelt sich um eine gespeicherte Cross-Site-Scripting-Lücke (Stored XSS): Eine manipulierte E-Mail kann schädlichen Skriptcode enthalten, der im Browser des Nutzers und im Kontext seiner angemeldeten Sitzung ausgeführt wird. Angreifer könnten so unberechtigt auf Postfach-, Sitzungs- oder Kontoinformationen zugreifen.

Der Fehler wurde von der Threat Analysis Group von Google gemeldet und mit der Version 10.1.19 behoben. Eine CVE-Nummer war zum Zeitpunkt der Veröffentlichung noch nicht vergeben; aktive Angriffe auf genau diese Lücke sind bislang nicht bekannt. Das mindert das Risiko, ersetzt den Patch aber nicht — für frühere Zimbra-Schwachstellen gab es in der Vergangenheit bereits gezielte Angriffe.

Wer ist betroffen?

Betroffen sind Unternehmen und Organisationen, die Zimbra Collaboration selbst betreiben und den Classic Web Client einsetzen — die klassische Weboberfläche für den Mail-Zugriff. Zimbra ist eine verbreitete, selbst gehostete Alternative zu Microsoft 365 und Exchange und wird unter anderem von IT-Dienstleistern, Hostern und mittelständischen Betrieben mit eigener Mail-Infrastruktur genutzt. Wer ausschließlich das modernere Web-Frontend nutzt oder gar kein Zimbra betreibt, ist von dieser konkreten Lücke nicht betroffen.

Was jetzt zu tun ist

1. Prüfen Sie, ob in Ihrem Unternehmen Zimbra Collaboration selbst gehostet wird und welche Version im Einsatz ist.
2. Aktualisieren Sie zeitnah auf 10.1.19 (Zweig 10.1.x). Für ältere unterstützte Zweige stehen ebenfalls Patches bereit, etwa 10.0.18 und 9.0.0 Patch 46.
3. Legen Sie vor dem Update ein Backup an und planen Sie ein kurzes Wartungsfenster ein.
4. Prüfen Sie, ob der Classic Web Client überhaupt benötigt wird — lässt er sich abschalten oder auf das moderne Frontend umstellen, verkleinern Sie die Angriffsfläche zusätzlich.
5. Sensibilisieren Sie Mitarbeitende weiterhin für verdächtige E-Mails, auch wenn dieser Angriff kein aktives Zutun erfordert.

So hilft Binary System Services

Wir behalten Sicherheitshinweise für gängige Business- und Server-Software im Blick, prüfen für Sie, ob und in welcher Version Systeme wie Zimbra bei Ihnen laufen, und spielen Patches kontrolliert mit Backup und Wartungsfenster ein. Auf Wunsch übernehmen wir das laufende Patch-Management und Monitoring Ihrer Mail-Infrastruktur, damit kritische Updates nicht liegen bleiben. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.