W piątek, 4.02.2022, pojawiła się informacja o podatności 0-day Zimbry, wykorzystująca lukę XSS. Na atak, który pozwala przejąć dane pocztowe użytkowników, narażone są Zimbry w wersji 8.8.15 i wcześniejsze (wersje NE i FOSS), do patcha 30 włącznie.
Podatność została zidentyfikowana i naprawiona przez Zimbrę w sobotę 5.02.2022. Wydano też poprawiony patch30 do wersji 8.8.15, który łata opisaną dziurę.
Błąd, który pozwalał na nieuprawnione przejęcie danych, istnieje w HTML’owym kliencie webowym (stąd wersja 9.0.0 jest bezpieczna, gdyż ten typ klienta został usunięty w najnowszej wersji Zimbry (Zobacz tutaj). Błąd zlokalizowano w module kalendarza.
Ze względu na wysoki stopień zagrożenia, zalecamy jak najszybszy upgrade Zimbry do bezpiecznej wersji 8.8.15Patch30 lub 9.0.0.
Szczegóły ataku opisane są tutaj: Operation EmailThief: Active Exploitation of Zero-day XSS Vulnerability in Zimbra
Jeżeli chcesz się dowiedzieć więcej, albo nie wiesz co zrobić ze swoją Zimbrą, skontaktuj się z nami: Intalio - kontakt