Sicherheitsalarm: CVE-2025-66376 in Zimbra und Operation GhostMail Kampagne stehlen Anmeldeinformationen und Zugriff auf Postfächer

Die Computer-Sicherheitswelt blickt auf Zimbras Mailserver zurück, nachdem Forscher und Regierungsbehörden aktive Ausbeutungen entdeckten, die einen schweren Ausfall in der Zimbra Collaboration Suite (ZCS) ausnutzen. Es geht um Verwundbarkeit. CVE-2025-66376, ein Stored Cross-Site-Skripting (XSS) Fehler, der in gefährdeten Umgebungen der erste Schritt sein kann, um Remote-Code-Ausführung zu erreichen und die Kontrolle über den Mailserver und einzelne Konten zu übernehmen.

Zimbra selbst veröffentlichte einen Patch im November, um den Fehler zu korrigieren; die betroffenen Versionen und Updates sind in ihrer Veröffentlichungsbekanntmachung ausführlich, so dass die sofortige Empfehlung für Administratoren ist, diese Patches so schnell wie möglich anzuwenden. Die offizielle Note des Unternehmens ist auf seinem technischen Blog verfügbar: Patch-Release - Zimbra 10.1.13 / 10.0.18. Der Ausfall wird auch im NVD-Verwundbarkeitskatalog genannt: CVE-2025-66376 (NVD).

Die Schwere der Angelegenheit, die eskaliert wurde, als die US Cybersecurity and Infrastructure Security Agency (CISA) seine Sicherheitslücke zu seiner Katalog der in der Praxis ausgenutzten Schwachstellen und befahl Bundesbehörden, ihre Server innerhalb von zwei Wochen in Anwendung der Binding-Operationsrichtlinie 22-01 zu korrigieren. Die Warnung und die Aufnahme im Katalog unterstreichen die aktive Ausbeutung auf dem Gebiet und die Verpflichtung zur Minderung in Bundesumgebungen: CISA Mitteilung über die Aufnahme von CVE-2025-66376 und Zugang zum Katalog ausgenutzter Sicherheitslücken Hier.. Die verbindliche Richtlinie, die eine schnelle Reaktion erzwingt, ist auf der CISA-Website verfügbar: BOD 22-01.

Auf der operativen Ebene wurde die APT28 Gruppe - verbunden mit der russischen militärischen Intelligenz (GRU) und auch bekannt als Fancy Bear oder Strontium - von Forschern auf Kampagnen zurückgeführt, die diese Schwachstelle missbrauchen, um ukrainische Wesen anzugreifen. Das Seqrite Labor veröffentlichte eine technische Analyse der Kampagne, die als Das ist der Weg!, wo es dokumentiert, wie Angreifer E-Mails ohne schädliche Anhänge oder verdächtige Links senden: Die Angriffskette befindet sich ganz im HTML-Körper der Nachricht. Der Bericht Seqrite ist verfügbar unter: Operation GhostMail - Seqrite Labs.

Der von den Forschern beschriebene Mechanismus ist technisch einfach, aber effektiv: Die Mail liefert ein affuscated JavaScript, das die gespeicherten XSS nutzt, wenn der Empfänger die Nachricht in einer empfindlichen Zimbra-Webmail-Session öffnet. Das Skript läuft leise im Browser des Nutzers und startet das Sammeln von Anmeldeinformationen, Sitzungs-Token, Zwei-Faktor-Authentifizierungs-Backup-Codes, im Browser gespeicherten Passwörtern und bis zum Inhalt der Mailbox für die letzten 90 Tage, Senden dieser Informationen an die Server der Angreifer über Kanäle wie DNS und HTTPS. Dieses Verhalten verwandelt eine einfache Nachricht in einen kompletten Einbruch ohne die Notwendigkeit von Anhängen oder Makros.

Diese Art der Ausbeutung ist im Zimbra-Ökosystem nicht neu: Die Plattform war ein wiederkehrendes Ziel für staatliche und kriminelle Akteure. In früheren Kampagnen hatten russisch-verknüpfte Firmen XSS und andere Vektoren in Zimbra bereits missbraucht, um die Kommunikation von NATO-orientierten Organisationen zu spionieren und Tausende von verletzlichen Servern in verschiedenen Wellen der Intrusion zu kompromittieren. Die Wiederbelebung des Risikos muss mit Zimbras breiter Annahme in Regierungen und Unternehmen zu tun haben, wodurch jeder ausnutzbare Fehler ein hochwirksamer Vektor ist.

Wenn Sie Zimbra-Server verwalten oder Konten verwalten, die von dieser Infrastruktur abhängen, gibt es eine Reihe von dringenden Maßnahmen, die koordiniert und prioritär umgesetzt werden müssen. Das erste und wichtigste ist, das offizielle Zimbra-Update anzuwenden, das die CVE-2025-66376 korrigiert. Darüber hinaus validieren Sie HTML-Mail-Blocking-Richtlinien in sensiblen Umgebungen, straffen Zugriffskontrolle auf Verwaltungskonsolen, überprüfen Log-in-Daten und Mailbox-Aktivität, drängen die Rotation von Anmeldeinformationen und 2FA-Backup-Schlüsseln, wenn es Verdacht auf Engagement gibt, und steuern Sie den ausgehenden Verkehr (einschließlich DNS-Beratungen) atypische Exfiltration zu erkennen oder zu blockieren sind Schritte, die das Risiko reduzieren, während der Korrektur abgeschlossen.

Jenseits spezieller technischer Minderungen, die Aufnahme von Sicherheitslücken im CISA-Katalog und die Bestellung an Bundesagenturen dienen als Erinnerung daran, dass die Reaktion auf Vorfälle und Grundhygiene - schnelle Parkplätze, Überwachung und Netzwerksegmentierung - bleiben die effektivste Verteidigung gegen Kampagnen von fortgeschrittenen Akteuren gerichtet. Für Administratoren, die die offizielle Patch-Referenz benötigen, gibt die Zimbra-Note die korrigierten Versionen und empfohlenen Schritte an: Plot und Update - Zimbra und die CISA-Mitteilung kontextualisiert die Bedrohung und Verpflichtungen im öffentlichen Sektor: CISA-Benachrichtigung.

Die Lektion für kleine und große Organisationen ist klar: die Eingangstüren können an Orten, die nicht gefährlich erscheinen- eine E-Mail ohne Anhänge oder Links kann ausreichen, um ein gesamtes System zu kompromittieren, wenn der Postdienst eine ausnutzbare Sicherheitslücke darstellt. Die Aufrechterhaltung aktueller Software, die Verringerung der Angriffsfläche (z.B. das Abschalten aktiver HTML-Rendering in Webmail, wenn es nicht notwendig ist) und die Vorbereitung von Antwortplänen, die einen schnellen Zugriffsabruf und ausgehende Verkehrsinspektion beinhalten, sind Maßnahmen, die einen Unterschied machen, wenn anspruchsvolle Kampagnen wie Operation GhostMail erscheinen.

Wenn Sie die technischen Details der Explosion vertiefen oder die in diesem Artikel genannten Referenzen benötigen, werden hier die Quellen konsultiert: die Erfassung der Sicherheitslücke im NVD ( CVE-2025-66376), der Zimbra Patch ( Zimbra Patch Release), der technische Bericht von Seqrite über Operation GhostMail ( Seqrit Labs) und die offizielle Mitteilung der CISA ( CISA-Benachrichtigung), zusätzlich zum Katalog der ausgenutzten Schwachstellen ( Known Exploited Schwachstellen Katalog)