Vulnerabilità critiche in Zimbra: SQL Injection, Stored XSS e SSRF mettono a rischio i dati aziendali

Nuovo allarme sicurezza per gli utenti di Zimbra Collaboration: il popolare software di comunicazione e collaborazione è stato colpito da gravi vulnerabilità che mettono a rischio la riservatezza delle informazioni aziendali. Il team di Zimbra ha rilasciato aggiornamenti urgenti per correggere queste falle critiche, ma il pericolo rimane elevato per chi non aggiorna tempestivamente.

CVE-2025-25064: SQL Injection

La vulnerabilità più critica, identificata come CVE-2025-25064, ha un punteggio CVSS di 9.8 su 10, un valore che lascia pochi dubbi sulla sua pericolosità. Il problema risiede in un difetto di validazione dei parametri nel servizio ZimbraSync Service SOAP endpoint, consentendo a un attaccante autenticato di iniettare query SQL arbitrarie. Questo potrebbe tradursi in accesso non autorizzato ai metadati delle email, compromettendo la sicurezza delle comunicazioni aziendali.

Stored XSS nel Web Client classico di Zimbra

Un’altra grave vulnerabilità riguarda il Web Client classico di Zimbra, afflitto da un bug di Stored Cross-Site Scripting (XSS). Sebbene non abbia ancora ricevuto un identificativo CVE, questa falla permette agli attaccanti di iniettare codice malevolo persistente all’interno dell’interfaccia utente, con il rischio di rubare credenziali e sessioni di autenticazione. Fortunatamente, la patch è già disponibile nelle versioni 9.0.0 Patch 44, 10.0.13 e 10.1.5.

CVE-2025-25065: SSRF e accesso non autorizzato alla rete interna

Infine, Zimbra ha corretto anche CVE-2025-25065, una vulnerabilità di Server-Side Request Forgery (SSRF) con punteggio CVSS di 5.3. Questo difetto, presente nel modulo di parsing degli RSS feed, potrebbe consentire a un attaccante di manipolare richieste HTTP per accedere a risorse interne della rete aziendale, potenzialmente aprendo la porta ad attacchi più avanzati.

Come proteggersi?

Zimbra ha rilasciato aggiornamenti critici per mitigare queste vulnerabilità, disponibili nelle seguenti versioni:

• CVE-2025-25064: corretta in Zimbra 10.0.12 e 10.1.4
• Stored XSS: risolto in Zimbra 9.0.0 Patch 44, 10.0.13 e 10.1.5
• CVE-2025-25065: mitigato in Zimbra 9.0.0 Patch 43, 10.0.12 e 10.1.4

Conclusione

Chi utilizza Zimbra deve aggiornare immediatamente i propri sistemi per evitare possibili compromissioni. Il rischio di sfruttamento è concreto e potrebbe avere impatti devastanti sulle aziende che utilizzano questo software per la gestione delle proprie comunicazioni. La tempestività nell’applicazione degli aggiornamenti di sicurezza è essenziale per ridurre al minimo il rischio di attacchi informatici.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Luca Galuppi

Appassionato di tecnologia da sempre. Lavoro nel campo dell’informatica da oltre 15 anni. Ho particolare esperienza in ambito Firewall e Networking e mi occupo quotidianamente di Network Design e Architetture IT. Attualmente ricopro il ruolo di Senior IT Engineer e PM per un’azienda di Consulenza e Servizi IT.

Aree di competenza: Firewall, Networking, Network Design, Architetture IT, Servizi IT

Visita il sito web dell'autore