Trusted Design

CVE-2025-27915 の詳細

CVEの情報

説明:
An issue was discovered in Zimbra Collaboration (ZCS) 9.0 and 10.0 and 10.1. A stored cross-site scripting (XSS) vulnerability exists in the Classic Web Client due to insufficient sanitization of HTML content in ICS files. When a user views an e-mail message containing a malicious ICS entry, its embedded JavaScript executes via an ontoggle event inside a <details> tag. This allows an attacker to run arbitrary JavaScript within the victim's session, potentially leading to unauthorized actions such as setting e-mail filters to redirect messages to an attacker-controlled address. As a result, an attacker can perform unauthorized actions on the victim's account, including e-mail redirection and data exfiltration.

CVE更新日: 2025-03-12 15:15:39.900000

CVSSバージョン: 3.1

CVSSスコア: 5.4

KEVの情報

KEV更新日: 2025-10-07

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.040640000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: medium

Automatable: False

AIを使った解説

解説:

CVE-2025-27915に関する調査結果は以下の通りです。

1. 脆弱性の概要

CVE-2025-27915は、Zimbra Collaboration Suite (ZCS) のClassic Web Clientに存在する深刻な保存型クロスサイトスクリプティング（XSS）の脆弱性です。この脆弱性は、ICS (iCalendar) ファイル内のHTMLコンテンツの不適切なサニタイズに起因します。攻撃者が細工されたICSエントリを含むメールメッセージを送信し、ユーザーがこれを閲覧すると、埋め込まれた悪意のあるJavaScriptが<details> HTMLタグ内のontoggleイベントを介して実行されます。

1.1 影響 攻撃者は、被害者の認証済みセッションのコンテキスト内で任意のJavaScriptを実行できます。これにより、以下のような不正な操作が可能になります。 * メールフィルターの作成によるメールの攻撃者制御アドレスへのリダイレクト。 * Webメールの認証情報、メールの受信トレイの内容、連絡先リスト、カレンダーデータ、共有フォルダー、および通信メタデータの漏洩。 * Webメールセッションの乗っ取り。 * 二要素認証 (2FA) メカニズム（スクラッチコード、信頼済みデバイスのトークン、アプリ固有のパスワードなど）の標的化と漏洩。

1.2 深刻度 この脆弱性は、実際に悪用されていることから「重大 (Critical)」と評価されており、CISAのKnown Exploited Vulnerabilities (KEV) カタログにも追加されています。NVDではCVSSv3.1の基本スコア5.4（中程度）が割り当てられていますが（CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N）、実際の攻撃キャンペーンでの悪用を考慮すると、その影響はさらに高くなる可能性があります。

2. 対象となる環境

2.1 影響を受けるOSバージョン この脆弱性の影響を受けるのは、Zimbra Collaboration Suite (ZCS) の以下のバージョンです。 * Zimbra Collaboration Suite 9.0.0 (P43までのすべてのパッチレベル) * Zimbra Collaboration Suite 10.0 (10.0.13より前のバージョン) * Zimbra Collaboration Suite 10.1 (10.1.5より前のバージョン)

2.2 影響を受ける設定 Zimbra Collaboration SuiteのClassic Web Clientが特に影響を受けます。

3. 影響を受けた時の兆候

  • ユーザーの知らない間に不審なメールフィルターが作成されている（特に外部アドレスへのメール転送ルール）。
  • 通常のHTML要素とは異なる<details>、<summary>などのHTML要素、またはontoggle、onclick、onerrorなどのイベントハンドラを含むICSファイルが添付されているメールが存在する。
  • 見慣れない外部ドメインへの予期せぬアウトバウンドメールトラフィック。
  • 新しく作成されたフィルター条件に合致するメールがユーザーから見当たらないという報告。
  • メールボックス内に埋め込みJavaScriptを含む異常に大きなICSファイルが確認される。
  • 認証情報の窃取、メールや連絡先の漏洩、および持続的な不正アクセス。

4. 推奨対策

4.1 本対策 * 影響を受けるZimbra Collaboration Suiteのインスタンスを直ちにパッチが適用されたバージョンにアップグレードしてください。 * 具体的なパッチバージョンは以下の通りです。 * ZCS 9.0.0 Patch 44 * ZCS 10.0.13以降 * ZCS 10.1.5以降 * 古いバージョンやサポートされていないバージョンを実行している組織は、重大なリスクにさらされているため、直ちにアップグレードすることを強く推奨します。

4.2 暫定回避策（緩和策） * Classic Web Clientを無効にすることを検討してください。 * パッチが適用されるまで、信頼できない送信元からのICS添付ファイルをブロックするメールフィルタリングルールを実装してください。 * ベンダーの指示に従って緩和策を適用するか、クラウドサービスについては該当するBOD 22-01ガイドラインに従うか、緩和策が利用できない場合は製品の使用を中止してください。 * すべての入力を悪意のあるものと仮定し、「既知の良いものを受け入れる」入力検証戦略、すなわち仕様に厳密に準拠する許容可能な入力のリストを使用してください。

その他に解説すべき観点

  • CWE (共通脆弱性タイプ一覧): CWE-79 (Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')) に分類されます。
  • 実世界での悪用: この脆弱性は、ゼロデイ攻撃として実際に悪用されました。特に、ブラジル軍を標的とした高度なサイバースパイ活動で、国家が支援するAPTグループ（例えばロシア関連のUNC1151 / UNK_HeatSink）によって利用されました。
  • 発見と公開のタイムライン: CVE-2025-27915は2025年3月12日にNVDに公開されました。公式な公開前に活発に悪用されていました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る