Spreparowane zaproszenie kalendarzowe w Zimbra wykonuje kod w poczcie webowej po samym wyświetleniu. CISA potwierdza ataki, ESET opisał kampanię szpiegowską. Zaktualizuj serwer poczty dziś.
Ten alert jest dla zarządu, CTO i CFO firm, szkół i urzędów, które prowadzą pocztę na własnym serwerze Zimbra Collaboration. Werdykt: jeśli serwer nie ma wydania 10.0.7, poprawki 9.0.0 P39 lub 8.8.15 P46 (albo nowszych), zaktualizuj go dziś, bo samo wyświetlenie spreparowanego zaproszenia kalendarzowego pozwala przejąć sesję skrzynki, a luka jest wykorzystywana w atakach.
Amerykańska agencja CISA 19 maja 2025 roku dopisała CVE-2024-27443 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd siedzi w funkcji zaproszeń kalendarzowych (CalendarInvite) w klasycznym interfejsie poczty webowej Zimbra. Jedno z pól technicznych zaproszenia nie było sprawdzane, więc nadawca mógł wpisać tam kod, który wykonywał się w przeglądarce odbiorcy w chwili wyświetlenia wiadomości.
ESET w maju 2025 roku opisał operację szpiegowską RoundPress, w której ta luka służyła do kradzieży danych logowania, kontaktów i wiadomości z webmaili. Poprawki są dostępne od lutego 2024 roku, a termin naprawy wg CISA minął 9 czerwca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-27443 |
Data dodania do CISA KEV | 2025-05-19 |
Termin naprawy wg CISA | 2025-06-09 (21 dni od wpisu) |
Produkt | Synacor Zimbra Collaboration Suite (ZCS), klasyczny interfejs poczty webowej, funkcja CalendarInvite |
Wersje zagrożone | NVD: ZCS 9.0 przed poprawką P39 oraz 10.0 przed 10.0.7. Producent wydał tę samą poprawkę także dla linii 8.8.15 (P46), więc linię 8.8.15 bez P46 też należy traktować jako podatną. Warunek: ofiara wyświetla wiadomość w klasycznym interfejsie webowym |
Wersje bezpieczne | 10.0.7 (28 lutego 2024 roku) lub nowsza; 9.0.0 Patch 39 lub nowsza; 8.8.15 Patch 46 lub nowsza. Producent nie podaje obejścia bez aktualizacji |
Typ podatności | Cross-site scripting (XSS) w nagłówku kalendarza; CWE-79 |
Ocena CVSS | NVD i CISA: 6.1 (CVSS 3.1, ŚREDNIA). Atak przez sieć, bez konta, wymaga wyświetlenia wiadomości przez ofiarę, skutek wychodzi poza funkcję kalendarza, niski wpływ na poufność i integralność |
Ocena punktowa jest średnia, ale osobna analiza CISA z maja 2025 roku określa skutek techniczny jako całkowity: po jednym udanym kroku napastnik działa w zalogowanej sesji poczty ofiary. Dlatego wpisu „średnia” w raporcie ze skanera nie należy traktować jako „może poczekać”.
Wyobraź sobie sekretariat, który rejestruje przychodzące pisma i odruchowo przepisuje treść rubryki „dotyczy” do wewnętrznego systemu. Ktoś przysyła pismo, w którego rubryce „dotyczy” zamiast tematu stoi polecenie służbowe. Sekretariat je przepisuje, a w systemie wygląda ono tak samo jak każde inne i zaczyna obowiązywać.
Tak działa ta luka. Przeglądarka nie ogląda wiadomości jak obrazka, tylko czyta ją jak instrukcję, co narysować. Jeśli w polu zaproszenia na spotkanie stoi kod, przeglądarka go wykonuje, z uprawnieniami zalogowanej osoby. Kod może czytać pocztę, wysyłać wiadomości w jej imieniu i wykradać dane logowania. Ofiara widzi zwykłe zaproszenie.
💡 XSS (cross-site scripting) to błąd, w którym strona wyświetla dane jako kod, więc przeglądarka wykonuje instrukcje napastnika. Sesja to stan „zalogowania” w poczcie; kod działający w sesji ma te same możliwości co użytkownik. Poczta webowa to dostęp do skrzynki przez przeglądarkę. Reguła przekierowania to ustawienie, które automatycznie wysyła kopie wiadomości na inny adres.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik wyświetla zaproszenie na spotkanie | Widzi termin i opis | Kod napastnika uruchamia się w jego poczcie |
Nadawca spoza firmy | Może tylko wysłać wiadomość | Może działać w skrzynce odbiorcy |
Dane logowania do poczty | Znane tylko użytkownikowi | Mogą zostać wykradzione |
Kontakty i korespondencja | Dostępne tylko w skrzynce | Mogą zostać skopiowane na zewnątrz |
Serwer bez aktualizacji od lat | „Działa, więc nie ruszamy” | Poprawka czeka od lutego 2024 roku |
źródło: Pexels, Connor Scott McManusPoniżej typowy przebieg ataku dla tej klasy podatności, zgodny ze sposobem działania opisanym przez ESET. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie wymaga konta ani hasła, ale wymaga, żeby ofiara wyświetliła wiadomość w klasycznym interfejsie webowym. CISA ocenia go jako nieautomatyzowalny, o całkowitym skutku technicznym.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie | T+0 | Wybór adresatów i przygotowanie wiadomości z zaproszeniem, w którego nagłówku jest ukryty kod | Wiarygodnie wyglądająca wiadomość |
2. Wysyłka | T+minuty | Wysłanie wiadomości do wybranych pracowników | Wiadomość w skrzynce ofiary |
3. Wyświetlenie | T+moment otwarcia | Ofiara otwiera wiadomość w poczcie webowej, kod uruchamia się w jej sesji | Napastnik działa jako ofiara |
4. Kradzież danych | T+sekundy do minut | Wykradanie danych logowania, kontaktów i wiadomości | Dane poza firmą |
5. Dalsze działania | T+dni do tygodni | Wysyłka wiadomości z przejętej skrzynki, podmiana numerów kont na fakturach, kolejne ataki na kontakty | Straty finansowe, kolejne ofiary |
Mogę Ci jakoś pomóc?
Poczta na własnym serwerze nie aktualizuje się sama: ktoś musi to zrobić. Zaproszenie na spotkanie to typ wiadomości otwieranej bez zastanowienia, a przejęta skrzynka daje napastnikowi wiarygodność firmy wobec klientów i kontrahentów. ESET wskazuje, że celem są m.in. instytucje publiczne i firmy z branży obronnej.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Aktualizacja serwera, wymuszenie ponownego logowania, przegląd skrzynek | Dni | 10 tys. do 80 tys. PLN (praca IT) |
Bezpieczeństwo danych | Wyciek korespondencji, kontaktów i danych logowania | Minuty od wyświetlenia wiadomości | 20 tys. do 150 tys. PLN (analiza powłamaniowa) |
Finansowy | Przelewy na podmienione konta, koszty specjalistów | Dni do tygodni | 30 tys. do 500 tys. PLN łącznie |
Reputacyjny | Oszukani kontrahenci, wiadomości wysłane z firmowego adresu | Tygodnie do miesięcy | 20 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Przy wycieku danych osobowych z korespondencji obowiązek zgłoszenia do UODO w 72 godziny i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Zimbra bez 10.0.7 / 9.0.0 P39 / 8.8.15 P46
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: mimo średniej oceny CVSS wpływ jest wysoki (przejęcie sesji poczty, kradzież danych logowania), a prawdopodobieństwo wysokie (potwierdzone ataki, EPSS około 24%, zaproszenia otwiera się odruchowo); atak wymaga jednak wyświetlenia wiadomości przez człowieka.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję Zimbra i numer ostatniej wgranej poprawki na serwerze | Dziś | Administrator poczty / firma utrzymująca |
2 | 🔴 NATYCHMIAST | Zaktualizować do 10.0.7, 9.0.0 P39, 8.8.15 P46 lub nowszych | Dziś | Administrator poczty |
3 | 🟠 PILNIE | Po aktualizacji wymusić ponowne logowanie wszystkich użytkowników | Do 1 dnia | Administrator poczty |
4 | 🟠 PILNIE | Przejrzeć w kontach reguły przekierowania poczty na zewnętrzne adresy | Do 3 dni | Administrator poczty |
5 | 🟠 PILNIE | Zmienić hasła kont, na których znaleziono podejrzane reguły lub logowania | Do 3 dni | Administrator poczty / użytkownicy |
6 | 🟡 WAŻNIE | Przypisać osobę lub firmę odpowiedzialną za comiesięczne aktualizacje serwera poczty | Do 30 dni | CTO / zarząd |
7 | 🟡 WAŻNIE | Wprowadzić zasadę telefonicznego potwierdzania zmian numerów kont u kontrahentów | Do 30 dni | CFO |
Producent wydał poprawki dla linii 10.0, 9.0 i 8.8.15, ale nie opisał obejścia bez aktualizacji. Poniższe miary zmniejszają ryzyko do czasu wgrania poprawek. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Czasowe korzystanie z nowego interfejsu webowego lub klienta pocztowego zamiast klasycznego interfejsu (luka dotyczy klasycznego) | Średnia: zależy od konfiguracji i nawyków użytkowników | Średnia |
Filtrowanie na bramce pocztowej wiadomości z nietypowymi nagłówkami kalendarza | Średnia: zależy od jakości reguł | Średnia do trudnej |
Przegląd reguł przekierowania i nietypowych logowań co kilka dni | Niska jako ochrona, przydatna do wykrycia przejęcia | Łatwa |
Potwierdzanie telefoniczne zmian danych do przelewów | Wysoka wobec oszustw na fakturach, nie chroni danych | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja serwera | Bez poprawek z 2024 roku | 10.0.7, 9.0.0 P39, 8.8.15 P46 lub nowsze |
Sesje użytkowników | Mogą być przejęte | Wymuszone ponowne logowanie |
Reguły przekierowania | Nikt ich nie sprawdzał | Przejrzane, podejrzane usunięte |
Odpowiedzialność za aktualizacje | „Ktoś kiedyś wdrożył” | Wskazana osoba i harmonogram |
Przelewy do kontrahentów | Zmiana konta na podstawie e-maila | Potwierdzenie telefoniczne |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); ESET opisał wykorzystanie w operacji RoundPress (15 maja 2025 roku) |
Grupy przestępcze | Wg ESET, ze średnią pewnością: Sednit, grupa szpiegowska powiązana z Rosją; ofiary to głównie instytucje rządowe i firmy obronne w Europie Wschodniej |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 6.1 ŚREDNIA wg NVD i CISA (CVSS 3.1); analiza CISA: skutek techniczny całkowity |
PoC dostępny publicznie? | ESET opublikował fragment kodu użytego w ataku; brak informacji o osobnym, gotowym narzędziu |
Liczba atakowanych firm | Brak publicznych informacji |
Ocena CISA | Wykorzystanie aktywne, atak nieautomatyzowalny, skutek techniczny całkowity |
Prognoza EPSS | Około 24% szansy prób wykorzystania w 30 dni, wśród niecałych 3% najbardziej narażonych luk (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2024-27443
CVSS 3.1 (NVD/CISA) 6.1/10 ████████████░░░░░░░░ ŚREDNIA
Skutek (analiza CISA) total ████████████████████ CAŁKOWITY
EPSS (próba w 30 dni) ~24% █████░░░░░░░░░░░░░░░ PODWYŻSZONA
CISA KEV TAK ████████████████████ ataki potwierdzone
Poprawka dostępna od 2024 ████████████████████ tylko aktualizacja
Mogę Ci jakoś pomóc?
2024-02-26 Rezerwacja numeru CVE
2024-02-28 Zimbra wydaje 10.0.7 z poprawką (w lutym także 9.0.0 P39)
2024-08-12 Publikacja CVE-2024-27443 i wpisu w NVD
2024-09 Zimbra wydaje poprawkę dla linii 8.8.15 (P46)
2025-05-15 ESET publikuje raport o operacji RoundPress
2025-05-19 CISA dodaje lukę do katalogu KEV
2025-06-09 Termin naprawy wg CISA dla agencji federalnych
... ponad 15 miesięcy od terminu CISA, ponad 2,5 roku od poprawki
2026-09-17: TUTAJ JESTEŚMY Informacje producenta o poprawkach: Zimbra 10.0.7 , Zimbra 9.0.0 P39 , Zimbra 8.8.15 P46 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-27443 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa Zimbra i kto utrzymuje serwer | CTO | DZISIAJ |
2 | Uzyskać numer wersji i ostatniej poprawki na serwerze | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację z krótką przerwą w dostępie do poczty | CTO | DZISIAJ |
4 | Zlecić przegląd reguł przekierowania i wymuszenie ponownego logowania | CTO | DO JUTRA |
5 | Wprowadzić telefoniczne potwierdzanie zmian numerów kont kontrahentów | CFO | DO JUTRA |
6 | Sprawdzić umowę z firmą utrzymującą pocztę pod kątem obowiązku aktualizacji | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja i poprawka Zimbra działa na naszym serwerze? | [wersja] | 🔴 |
2 | Kiedy serwer poczty był ostatnio aktualizowany? | [data] | 🔴 |
3 | Czy użytkownicy korzystają z klasycznego interfejsu webowego? | TAK / NIE | 🔴 |
4 | Czy po aktualizacji wymuszono ponowne logowanie wszystkich kont? | TAK / NIE | 🟠 |
5 | Ile kont ma reguły przekierowania poczty na adresy zewnętrzne? | [liczba] | 🟠 |
6 | Kto odpowiada za comiesięczne aktualizacje serwera poczty? | [osoba] | 🟠 |
7 | Czy bramka pocztowa filtruje wiadomości z nietypowymi nagłówkami? | TAK / NIE | 🟡 |
CVE-2024-27443 pozwala przejąć sesję poczty Zimbra po samym wyświetleniu spreparowanego zaproszenia kalendarzowego w klasycznym interfejsie webowym. CISA potwierdza ataki, a poprawki są dostępne od 2024 roku, więc aktualizacja serwera, wymuszenie ponownego logowania i przegląd reguł przekierowania to zadania na dziś i jutro.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.