Ouvrir un mail ne devrait jamais suffire à exécuter du code chez vous. C’est pourtant le scénario que Zimbra vient de colmater dans son Classic Web Client, avec une faille de type XSS stockée (cross-site scripting) jugée critique. Un e-mail bricolé avec soin, une fois affiché, pouvait déclencher l’exécution de scripts malveillants dans la session de la victime.
Points clés
- Une faille XSS stockée critique touche le Classic Web Client de Zimbra
- Un e-mail malveillant pouvait exécuter du code dans la session de la victime à son ouverture
- Le correctif est disponible en version 10.1.19, à installer sans tarder
Un e-mail piégé qui s’exécute tout seul
Le principe d’une XSS stockée est aussi simple que redoutable. Le code malveillant est injecté dans un contenu (ici le corps d’un message) puis conservé côté serveur. Il se déclenche au moment où la cible ouvre l’e-mail, sans clic douteux ni pièce jointe à télécharger. L’affichage suffit.
Dans la session du destinataire, un attaquant peut alors voler des cookies, détourner l’authentification, lire ou exfiltrer des messages, voire enchaîner sur d’autres actions au nom de l’utilisateur. Pour une plateforme de messagerie et de collaboration, c’est le genre de bug qui donne des sueurs froides aux administrateurs.
Le correctif : direction la version 10.1.19
Zimbra a publié un patch et invite ses utilisateurs à passer sur la version 10.1.19 du Classic Web Client sans traîner. La marche à suivre est classique mais impérative : appliquer la mise à jour, redémarrer les services concernés et vérifier que l’ancienne version ne traîne plus dans la nature.
Zimbra reste une cible de choix. Solution de messagerie très répandue, souvent auto-hébergée, elle défraie régulièrement la chronique sécurité. La leçon ne change pas : un serveur de mail qu’on héberge soi-même se surveille et se met à jour, sous peine de tendre soi-même la porte aux importuns.
