CVE-2025-66376

Stored XSS na Classic UI do Zimbra Collaboration (ZCS), explorável via diretivas CSS @import dentro de e-mails HTML. O sanitizador de HTML da Classic UI não neutraliza corretamente esse vetor, permitindo execução de script no contexto da sessão webmail da vítima só pela visualização do e-mail. Importa porque está no catálogo KEV da CISA — há exploração confirmada em ambientes reais, não é risco teórico.

A falha é um XSS armazenado (CWE-79) no componente Classic UI (webmail clássica) do ZCS. E-mails HTML podem conter blocos com diretivas @import; o sanitizador que a Zimbra usa para limpar HTML de e-mail antes de renderizar na Classic UI falha em neutralizar esse padrão específico, permitindo que conteúdo controlado pelo atacante escape da sanitização e execute JavaScript no DOM da sessão do usuário quando o e-mail é aberto/pré-visualizado.

O atacante controla o corpo HTML do e-mail malicioso — inclusive o bloco de CSS e a diretiva @import — e não precisa de acesso prévio ao Zimbra: só precisa que o e-mail chegue à caixa de entrada da vítima e seja aberto na Classic UI. O CVSS reporta UI:N (sem interação segundo o vetor formal), mas na prática a vítima precisa abrir o e-mail malicioso — a ausência de clique extra em link ou anexo é o que torna o vetor mais perigoso que um phishing clássico.

O Scope:Changed (S:C) no vetor CVSS reflete que o impacto ultrapassa o componente de renderização isolado e afeta a sessão autenticada do usuário no Zimbra, com potencial para roubo de token/cookie de sessão ou execução de ações SOAP em nome da vítima (confidencialidade e integridade baixas, sem impacto em disponibilidade).

A Zimbra não publicou write-up técnico detalhado sobre o bypass exato do sanitizador (qual tag, atributo ou encoding específico permite o escape); as fontes disponíveis confirmam apenas o vetor geral — CSS @import em HTML de e-mail — sem PoC ou trecho de código.

Vetor de entrega: e-mail HTML enviado a uma conta Zimbra, contendo CSS malicioso com @import. Não é necessário engajamento adicional da vítima além de abrir/visualizar o e-mail na Classic UI — não há necessidade de clicar em link, baixar anexo ou interagir com o conteúdo. Não requer autenticação do atacante no Zimbra; qualquer remetente externo capaz de entregar e-mail à caixa da vítima pode tentar o ataque.

Pré-condição real e frequentemente ignorada pela manchete: a vulnerabilidade afeta especificamente a Classic UI. Ambientes onde os usuários utilizam apenas a Modern UI (Modern Web App) não estão expostos por este vetor, segundo a descrição do fornecedor — o que reduz a superfície de risco em instalações que já migraram para a interface moderna.

O CVE está no catálogo KEV da CISA, confirmando exploração ativa observada, mas as fontes consultadas não detalham o ator de ameaça, escala da campanha ou o payload usado em campo — apenas que exploração real ocorreu, o que justifica tratamento como corrigir imediatamente e não apenas planejar.

Atualizar para ZCS 10.0.18 (branch 10.0) ou 10.1.13 (branch 10.1), ambos lançados em 06/11/2025, que corrigem a sanitização de CSS @import em e-mails HTML na Classic UI. O ramo 10.0 atinge fim de vida em 31/12/2025 segundo o próprio fornecedor — quem está em 10.0 deve migrar para 10.1 e não apenas aplicar o patch pontual, já que não haverá mais atualizações de segurança para 10.0 depois dessa data.

Se a atualização imediata não for possível, o controle compensatório mais direto, dado que a falha é específica da Classic UI, é migrar/forçar os usuários para a Modern UI enquanto o patch não é aplicado — isso reduz a exposição a este vetor específico, mas não corrige a causa raiz e não protege contra as outras falhas corrigidas na mesma versão (LFI não autenticado no RestFilter, CSRF, credenciais Flickr expostas). Filtragem de conteúdo de e-mail em gateway (removendo ou neutralizando blocos com @import) é mitigação parcial e não garantida, pois depende de cobertura completa de variantes de codificação do CSS.

Não funciona como mitigação: treinamento de usuário para 'não abrir e-mails suspeitos' — o vetor não depende de engenharia social sofisticada nem de clique em link, só da renderização do e-mail na interface vulnerável, então a exposição existe independente da atenção do usuário.

Não há assinatura de rede confiável para esta falha, pois o vetor é client-side (renderização de e-mail armazenado) e não gera tráfego anômalo distinguível de um e-mail HTML legítimo. O sinal mais útil é varredura de conteúdo de e-mails recebidos em busca de blocos contendo diretivas @import combinadas com padrões de ofuscação incomuns, e correlação com atividade pós-abertura na conta: chamadas SOAP inesperadas, criação de filtros de e-mail, alteração de configurações ou encaminhamentos automáticos disparados imediatamente após a visualização de um e-mail específico na Classic UI.