Zimbra Collaboration Suite (ZCS)

Die Schwachstelle betrifft die Zimbra Collaboration Suite (ZCS) von Synacor, eine Software für E-Mail und Zusammenarbeit. Der Fehler steckt in der klassischen Benutzeroberfläche (Classic UI) und ist eine Form von Cross-Site-Scripting, bei der schädlicher Code dauerhaft gespeichert wird. Ausgelöst wird er über HTML-E-Mails: Ein Angreifer bettet in einer Nachricht sogenannte @import-Anweisungen aus Cascading Style Sheets (CSS) ein, also Stilvorgaben, die eigentlich nur das Erscheinungsbild steuern sollen. Über diesen Umweg lässt sich Schadcode einschleusen, der im Browser des Opfers ausgeführt wird, sobald die präparierte E-Mail in der Weboberfläche geöffnet wird. Da der Code gespeichert wird, wirkt er bei jedem erneuten Aufruf der Nachricht. Auf diese Weise kann ein Angreifer Aktionen im Namen des Nutzers ausführen oder an Sitzungsdaten gelangen. Betroffen sind Anwender, die die klassische Weboberfläche von Zimbra verwenden.