Zimbra wydała wersję 10.1.19, która usuwa poważną podatność w Classic Web Client. Odpowiednio przygotowana wiadomość e-mail mogła uruchomić złośliwy kod w momencie jej otwarcia. Skutkiem wykorzystania luki mógł być dostęp do informacji znajdujących się w skrzynce, danych sesji lub ustawień konta. Producent określił poziom zagrożenia aktualizacji jako wysoki i zalecił użytkownikom Classic Web Client możliwie szybkie przejście na poprawioną wersję.
Na czym polega luka w Zimbra Classic Web Client?
Zgodnie z komunikatem Zimbra dotyczącym wersji 10.1.19 problem dotyczy renderowania specjalnie przygotowanej wiadomości w klasycznym interfejsie webmail. Po otwarciu e-maila w przeglądarce mogło dojść do wykonania złośliwego kodu.
To inny scenariusz niż klasyczny phishing z linkiem. Użytkownik nie musi zostać przekonany do logowania na fałszywej stronie. Niebezpieczna jest sama treść wiadomości przetwarzana przez podatny interfejs poczty.
Jaki poziom zagrożenia ma podatność?
Zimbra oznaczyła poprawkę jako High. Potencjalne konsekwencje obejmują dostęp do informacji o skrzynce, danych sesji i ustawień konta. Podatność dotyczy Classic Web Client, a producent wskazał jednocześnie niski poziom ryzyka samego wdrożenia poprawki.
Czy problem został naprawiony?
Tak. Poprawka znajduje się w Zimbra 10.1.19. Administratorzy środowisk wykorzystujących Classic Web Client powinni sprawdzić wersję i zaktualizować serwer. Z punktu widzenia zwykłego użytkownika nie ma tu ustawienia skrzynki, które zastąpi aktualizację po stronie administratora.