Zimbra是一套開源協(xié)同辦公套件，包括WebMail、日歷、通信錄、Web文檔管理和創(chuàng)作。它通過將終端用戶的信息和活動連接到私有云中，為用戶提供了最具創(chuàng)新性的消息接收體驗，因此每天有超過20萬家企業(yè)和1000多家政府、金融機構(gòu)使用Zimbra與數(shù)百萬用戶交換電子郵件。

SonarSource的專家近期披露了開源 Zimbra代碼中的兩個漏洞。這些漏洞可能使未經(jīng)身份驗證的攻擊者破壞目標(biāo)企業(yè)的Zimbra網(wǎng)絡(luò)郵件服務(wù)器。借此，攻擊者就可以不受限制的訪問所有員工通過Zimbra傳輸?shù)碾娮余]件內(nèi)容。

CVE-2021-35208（CVSS評分：5.4）——跨站腳本錯誤（XSS）

CVE-2021-35209（CVSS評分：6.1）——服務(wù)器端請求偽造漏洞(SSRF)

安全專家表示，當(dāng)用戶瀏覽查看Zimbra傳入的電子郵件時，就會觸發(fā)跨站點腳本(CVE-2021-35208)漏洞。

惡意電子郵件會包含一個精心設(shè)計的JavaScript有效負(fù)載，當(dāng)該負(fù)載被執(zhí)行時，攻擊者將能夠訪問受害者所有的電子郵件（除了他們的WEBmail會話）。并獲取受害者在Zimbra組件中其它功能的訪問權(quán)限，發(fā)起進(jìn)一步的攻擊。

另一個服務(wù)器端請求偽造漏洞 (CVE-2021-35209) ，繞過了訪問控制的允許列表，導(dǎo)致強大的服務(wù)器端請求偽造。研究人員指出，該漏洞可以被任何權(quán)限角色的經(jīng)過身份驗證的組織成員利用。