CISA orders feds to patch Zimbra XSS flaw exploited in attacks

Urgence sur la suite Zimbra : la CISA ordonne le colmatage d’une faille activement exploitée

La CISA a intégré à son catalogue des vulnérabilités exploitées (KEV) une faille critique affectant la suite Zimbra Collaboration Suite (ZCS). Les agences fédérales américaines ont jusqu’au 1er avril pour sécuriser leurs serveurs. Bien que cette directive concerne le secteur public, la CISA exhorte l’ensemble des entreprises privées utilisant Zimbra à appliquer les correctifs immédiatement.

Points clés :

• La vulnérabilité permet l’exécution arbitraire de code JavaScript via l’envoi d’e-mails HTML malveillants.
• Les attaquants peuvent détourner des sessions utilisateur et exfiltrer des données sensibles.
• Les serveurs Zimbra sont des cibles récurrentes pour les groupes de cybercriminels et les acteurs étatiques (ex: Winter Vivern) pour infiltrer des entités gouvernementales et militaires.

Vulnérabilité identifiée :

• CVE-2025-66376 : Faille de type Stored Cross-Site Scripting (XSS) dans l’interface classique (Classic UI), exploitable par des attaquants non authentifiés via l’utilisation de directives @import CSS.

Recommandations :

• Appliquer les correctifs : Installer les mises à jour fournies par Synacor (disponibles depuis novembre).
• Suivre les directives : Appliquer les instructions du fournisseur et les recommandations de la directive BOD 22-01.
• Alternative : En cas d’impossibilité de corriger la faille, il est recommandé de cesser l’utilisation du produit.

Source