Trusted DesignCVE-2024-27443 の詳細
CVEの情報
説明:
An issue was discovered in Zimbra Collaboration (ZCS) 9.0 and 10.0. A Cross-Site Scripting (XSS) vulnerability exists in the CalendarInvite feature of the Zimbra webmail classic user interface, because of improper input validation in the handling of the calendar header. An attacker can exploit this via an email message containing a crafted calendar header with an embedded XSS payload. When a victim views this message in the Zimbra webmail classic interface, the payload is executed in the context of the victim's session, potentially leading to execution of arbitrary JavaScript code.
CVE更新日: 2024-08-12 15:15:20.283000
CVSSバージョン: 3.1
CVSSスコア: 6.1
KEVの情報
KEV更新日: 2025-05-19
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.246060000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: medium
Automatable: False
CVE-2024-27443に関する調査結果を以下にまとめます。
1. 脆弱性の概要
1.1 影響
Zimbra Collaboration (ZCS) のCalendarInvite機能にクロスサイトスクリプティング（XSS）の脆弱性が存在します。攻撃者は、細工されたカレンダーヘッダーを含むメールメッセージを介してこの脆弱性を悪用できます。被害者がZimbraウェブメールのクラシックインターフェースでこのメッセージを表示すると、ペイロードが被害者のセッションのコンテキストで実行され、任意のJavaScriptコードが実行される可能性があります。これにより、機密性への影響は低く、完全性への影響は低いと評価されていますが、可用性への影響はありません。
1.2 深刻度
CVSS v3.1の基本スコアは6.1で、深刻度は「中」と評価されています。 また、CVSS v2の基本スコアは6.4です。 この脆弱性は、CISA（サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用されている脆弱性（KEV）カタログに登録されており、実際の攻撃で悪用が確認されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
Zimbra Collaboration (ZCS) 9.0および10.0に問題が発見されています。具体的には、ZCS 9.0 (パッチ1～38) および10.0 (10.0.6まで) が影響を受けます。
2.2 影響を受ける設定
ZimbraウェブメールのクラシックユーザーインターフェースのCalendarInvite機能における、カレンダーヘッダーの処理における入力検証の不備が原因です。
3. 影響を受けた時の兆候
攻撃が成功した場合、被害者のセッションのコンテキストで任意のJavaScriptコードが実行されます。この脆弱性による直接的なユーザーが認識できる兆候については、明確な記載がありません。
4. 推奨対策
4.1 本対策
Zimbraを以下のパッチ適用済みバージョンにアップグレードしてください。 * ZCS 9.0.0 Patch 39 * ZCS 10.0.7
4.2 暫定回避策（緩和策）
ベンダーの指示に従って緩和策を適用するか、緩和策が利用できない場合は製品の使用を中止することが推奨されています。 現時点では、パッチ適用以外の具体的な暫定回避策は公開されていません。
他に解説すべき観点
参照したサイト