Zimbra Collaboration Suite (ZCS)

Die Schwachstelle steckt in der Groupware Zimbra Collaboration Suite (ZCS) von Synacor, genauer in der Komponente, die ein neues Browserfenster öffnet. Es handelt sich um eine reflektierte Cross-Site-Scripting-Lücke (XSS): Die betroffene Adresse nimmt Anfrageparameter entgegen, ohne deren Inhalt zu prüfen oder zu bereinigen. Dadurch kann ein Angreifer eigenen Web-Code oder HTML in die übergebenen Parameter einschleusen, der anschließend ungefiltert an den Browser des Opfers zurückgespiegelt und dort im Kontext der Zimbra-Anwendung ausgeführt wird. Der Angriff erfordert keine vorherige Anmeldung. Typischerweise wird das Opfer dazu gebracht, einen präparierten Link aufzurufen; das eingeschleuste Skript läuft dann mit den Rechten der angemeldeten Sitzung und kann etwa Sitzungsdaten abgreifen, Aktionen im Namen des Nutzers ausführen oder Inhalte der Oberfläche manipulieren. Betroffen sind Organisationen, die Zimbra als E-Mail- und Kollaborationsplattform einsetzen.