Softwareontwikkelaar Zimbra waarschuwt voor meerdere kritieke cross-site scripting (XSS)-lekken in de klassieke webmailsoftware, waardoor een aanvaller via een speciaal geprepareerde e-mail malafide code bij gebruikers kan uitvoeren. Daarnaast zijn ook verschillende andere kwetsbaarheden verholpen. Zimbra is een collaborative software suite die onder andere mailserversoftware en een webmailclient bevat. De software zou door meer dan 200.000 organisaties wereldwijd worden gebruikt.

Zimbra versie 10.1.20 verhelpt in totaal vier XSS-kwetsbaarheden in de Classic Web Client waarbij een aanvaller door middel van een speciaal geprepareerd veld of bijlage code in de webmailclient kan uitvoeren. Zo kan er toegang tot e-mail en andere informatie worden verkregen. Daarnaast is er ook een probleem gepatcht waardoor gebruikers ingestelde beperkingen met het doorsturen van e-mail konden omzeilen. Verder behoort ook een command injection in de SNMP-monitoring tot het verleden.

Organisaties worden opgeroepen de Zimbra-updates snel uit te rollen. Kwetsbaarheden in de software zijn in het verleden vaker gebruikt bij aanvallen. Het Amerikaanse cyberagentschap CISA houdt een overzicht bij van actief misbruikte beveiligingslekken. In het overzicht staan achttien unieke Zimbra-kwetsbaarheden. Negen daarvan betreffen cross-site scripting.

Bron: Security.nl