CISA 责令联邦机构修复遭攻击利用的 Zimbra 跨站脚本漏洞

美国网络安全与基础设施安全局（CISA）已责令美国政府机构对其服务器采取防护措施，以应对 Zimbra 协作套件（ZCS）中一个正在遭主动利用的漏洞。Zimbra 是一款广受欢迎的电子邮件与协作软件套件，全球数亿人在使用，其中包括数千家企业和数百家政府机构。

该漏洞编号为 CVE - 2025 - 66376，已于 11 月初修复。这个严重级别的安全漏洞源于经典用户界面（Classic UI）中的一个存储型跨站脚本（XSS）弱点，远程未认证攻击者可通过滥用电子邮件 HTML 中的层叠样式表（CSS）@import 指令加以利用。

虽然 Synacor（Zimbra 背后的公司）并未透露 CVE - 2025 - 66376 攻击成功后的具体影响，但该漏洞很可能被用于通过恶意的基于 HTML 的电子邮件执行任意 JavaScript 代码，这有可能让攻击者劫持用户会话，并在被攻陷的 Zimbra 环境中窃取敏感数据。

周三，CISA 将该漏洞列入其在实际环境中遭利用的漏洞目录，并依据 2021 年 11 月发布的《约束性操作指令》（BOD）22 - 01，要求联邦政府行政部门（FCEB）机构在 4 月 1 日前的两周内对其服务器进行安全防护。

尽管 BOD 22 - 01 仅适用于联邦机构，但美国这家网络安全机构还是鼓励包括私营部门在内的所有组织尽快修复这个正被主动利用的漏洞。

CISA 警告称：“按照供应商说明采取缓解措施，针对云服务遵循 BOD 22 - 01 的相关指导，若无法实施缓解措施，则停止使用该产品。这类漏洞是恶意网络行为者常用的攻击途径，会给联邦机构带来重大风险。”

遭受攻击的 Zimbra 服务器

Zimbra 的安全漏洞经常成为攻击目标，近年来，这些漏洞已被利用，致使全球数千台易受攻击的电子邮件服务器遭到入侵。

例如，早在 2022 年 6 月，Zimbra 的身份验证绕过和远程代码执行漏洞就被利用，导致 1000 多台服务器被入侵。

从 2022 年 9 月开始，黑客利用 Zimbra 协作套件中的一个零日漏洞，在获取被攻陷服务器的远程代码执行权限后，两个月内入侵了近 900 台服务器。

俄罗斯政府支持的黑客组织 “冬季蝰蛇”（Winter Vivern）也曾利用反射型跨站脚本漏洞，入侵北约相关国家政府的 Zimbra 网络邮件门户，以及政府官员、军事人员和外交官的邮箱。

最近，威胁行为者在零日攻击中利用 Zimbra 的另一个跨站脚本漏洞（CVE - 2025 - 27915）执行任意 JavaScript 代码，从而能够设置电子邮件过滤器，将邮件重定向到攻击者控制的服务器。