Trusted Design

CVE-2025-66376 の詳細

CVEの情報

説明:
Zimbra Collaboration (ZCS) 10 before 10.0.18 and 10.1 before 10.1.13 allows Classic UI stored XSS via Cascading Style Sheets (CSS) @import directives in an HTML e-mail message.

CVE更新日: 2026-01-05 15:15:44.903000

CVSSバージョン: 3.1

CVSSスコア: 7.2

KEVの情報

KEV更新日: 2026-03-18

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.202270000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: medium

Automatable: True

AIを使った解説

解説:

CVE-2025-66376について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2025-66376は、Zimbra Collaboration Suite (ZCS) のClassic UIにおける保存型クロスサイトスクリプティング（XSS）の脆弱性です。この脆弱性は、HTMLメールのレンダリングにおいて、Cascading Style Sheets (CSS) の@importディレクティブの内容が不適切に無害化されることに起因します。

1.1 影響 攻撃者は特別に細工されたHTMLメールを送信することで、ユーザーがそのメールを閲覧した際に悪意のあるJavaScriptを実行させることが可能です。これにより、セッションクッキーの窃取、認証情報の漏洩、侵害されたユーザーのZimbraウェブメールインターフェース内でのアクション実行、過去90日間のメール内容、メールアドレス、パスワード、グローバルアドレスリスト、二要素認証トークン、および新たに作成されたアプリケーションパスコードの窃取などが可能となります。攻撃には特権は必要ありません。

1.2 深刻度 この脆弱性のCVSSスコアは7.2（高 severity）と報告されています。また、CISA（サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用されている脆弱性（Known Exploited Vulnerabilities: KEV）カタログに追加されており、活発に悪用されていることが示唆されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン CVE-2025-66376はZimbra Collaboration Suite (ZCS) の脆弱性であり、以下のZCSバージョンが影響を受けます。 * ZCS 10.0.18より前のバージョン * ZCS 10.1.13より前のバージョン

2.2 影響を受ける設定 Classic UIのメール表示パスが影響を受けます。具体的には、HTMLメールメッセージ内のCSS @importディレクティブを介して悪意のあるJavaScriptが注入されることで発生します。

3. 影響を受けた時の兆候

この脆弱性の悪用は、ユーザーが不審なリンクをクリックしたりフィッシングページにアクセスしたりすることなく、単に悪意のあるメールを閲覧するだけで発生します。悪用はユーザーに視覚的な表示なしに透過的に行われます。成功した場合の兆候としては、メールボックスからの情報漏洩（メール、認証情報など）や、アカウントからの不審なアクティビティ（例えば、メールの転送設定の変更、不審な送信履歴など）が考えられます。

4. 推奨対策

4.1 本対策 Zimbra Collaboration Suiteを以下のバージョンに速やかにパッチ適用することが推奨されます。 * ZCS 10.0.18以降 * ZCS 10.1.13以降 これらの修正は2025年11月6日にリリースされています。

4.2 暫定回避策（緩和策） Zimbra Classic UIへの依存度を可能な限り減らすことが推奨されます。ただし、根本的な解決策は上記の本対策（パッチ適用）です。

5. 他に解説すべき観点

  • CWEマッピング: この脆弱性はCWE-79（Improper Neutralization of Input During Web Page Generation）に分類されます。
  • 攻撃者グループ: ロシアの国家支援型ハッカーグループ「Laundry Bear」（Void Blizzard、CL-STA-1114、TA488としても知られる）が、この脆弱性を悪用したキャンペーンを2025年7月から実施しています。
  • 公開日:
    • NVDに2026年1月5日に公開されました。
    • CISAのKnown Exploited Vulnerabilitiesカタログに2026年3月18日に追加されました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る