CVE-2025-48700

Falha de Cross-Site Scripting (XSS) armazenado na interface Classic UI do Zimbra Collaboration (ZCS), disparada simplesmente ao visualizar um e-mail malicioso — sem clique, sem anexo aberto. Está no catálogo KEV da CISA, ou seja, há exploração confirmada em ambiente real, o que pesa mais do que o CVSS 6.1 sugere: o score é moderado porque o impacto formal é limitado a confidencialidade/integridade dentro do contexto da sessão, mas o vetor (e-mail, zero-click de fato do ponto de vista do usuário) e a exploração ativa tornam essa falha prioritária.

CWE-79. O problema está na sanitização do HTML de mensagens de e-mail feita pelo renderizador da Classic UI antes de exibir o conteúdo ao usuário. O fornecedor descreve que 'tag structures' e 'attribute values' específicos, incluindo uma diretiva CSS @import, escapam do filtro e permitem injeção de script. @import dentro de uma folha de estilo embutida (via ou atributo style) é um vetor clássico de bypass de sanitizadores de HTML de webmail: o filtro bloqueia tags de script óbvias, mas não neutraliza corretamente construções CSS que podem carregar recursos externos ou, combinadas com outros truques de marcação, servir como veículo de execução de JavaScript no DOM da página.

O atacante controla integralmente o corpo HTML do e-mail enviado à vítima — estrutura de tags, atributos e a folha de estilo embutida. Não há necessidade de o atacante ter conta no sistema Zimbra da vítima; só precisa conseguir entregar um e-mail que chegue à caixa de entrada e seja aberto/visualizado no Classic UI. O CVSS marca UI:R porque a vítima precisa abrir/visualizar a mensagem, mas a descrição oficial enfatiza que isso é a única ação exigida — não há necessidade de clique adicional em link, anexo ou botão dentro do e-mail.

Vetor de entrega é e-mail. O atacante monta uma mensagem HTML com a marcação e a diretiva @import craftadas e a envia à caixa da vítima; basta a vítima abrir a mensagem (ou tê-la exibida em preview) no Classic UI para o script injetado executar no contexto da sessão web da vítima logada no Zimbra. Não é necessário acesso prévio à rede interna nem credenciais do atacante no Zimbra — o requisito real é a vítima usar a Classic UI (não o Modern UI) e abrir/visualizar o e-mail malicioso.

O resultado prático de uma exploração bem-sucedida é execução arbitrária de JavaScript dentro da sessão do webmail da vítima, o que na prática costuma servir para roubo de tokens/cookies de sessão, leitura ou exfiltração de mensagens e contatos, e potencial encadeamento para tomada de conta — tudo dentro do escopo do Same Origin do próprio Zimbra (S:C no vetor CVSS reflete esse escopo alterado).

A presença no catálogo KEV da CISA confirma exploração ativa in the wild, mas as fontes consultadas não trazem detalhes de campanha, atribuição de ator ou indicadores de comprometimento específicos — apenas a confirmação formal de exploração e o prazo de mitigação definido pela CISA.

O fornecedor lista como afetadas as linhas ZCS 8.8.15, 9.0, 10.0 e 10.1. Nas fontes públicas de changelog do próprio Zimbra (Security Center / Security Advisories) não há uma entrada que cite explicitamente o identificador CVE-2025-48700 associado a uma versão de correção — a entrada mais próxima por data (patch lançado em 18/06/2025 para ZCS 9.0.0 Patch 46, 10.0.15 e 10.1.9) descreve genericamente 'stored cross-site scripting no Zimbra Classic Web Client' corrigido por reforço de sanitização, mas a própria wiki do fornecedor associa esse mesmo item, em outro ponto, ao CVE-2025-27915 — uma CVE diferente, já conhecida publicamente por outro vetor. Essa inconsistência no changelog impede afirmar com certeza absoluta qual patch específico resolveu o CVE-2025-48700.

Diante disso, a orientação prática e segura é atualizar para o release/patch mais recente suportado de cada branch (9.0.0 com o patch acumulado mais atual, 10.0.x e 10.1.x nas versões mais recentes disponíveis), já que rodadas subsequentes de correção (por exemplo, o CVE-2025-66376, também descrito como XSS via diretiva @import na Classic UI, corrigido em 10.1.13/10.0.18) indicam que o fornecedor tratou esse padrão de sanitização de CSS em mais de uma iteração — sinal de que uma única versão intermediária pode não cobrir toda a superfície do problema.

Como paliativo real quando a atualização imediata não é possível: migrar usuários para o Modern UI, se disponível no ambiente, reduz a exposição porque a falha é reportada especificamente na Classic UI — mas isso é inferência de escopo, não uma mitigação documentada oficialmente pelo fornecedor, e tem custo de treinamento/adaptação de usuários. Filtragem de HTML de e-mail em gateway de borda (bloqueio de tags e da diretiva @import em corpos HTML) é controle compensatório de rede, não substitui o patch. Reiniciar serviços, remover zimlets ou aplicar apenas hardening de configuração não corrige a causa raiz, que está no sanitizador de HTML do renderizador de mensagens.

Não há assinatura pública de exploração divulgada nas fontes consultadas. Como indício indireto, vale inspecionar mensagens recebidas com HTML contendo a diretiva @import em blocos ou em atributos style, combinada com estruturas de tag incomuns — esse é o padrão descrito pelo fornecedor como vetor de injeção. Em ambientes com proxy/gateway de e-mail, logar e filtrar mensagens HTML com @import associado a domínios externos desconhecidos pode ajudar a identificar tentativas. No lado do cliente, tráfego de saída inesperado do navegador do usuário Zimbra Classic UI para domínios externos, correlacionado no tempo com a abertura de uma mensagem específica, é um sinal a investigar, mas não constitui detecção confiável e determinística — a ausência de indicadores públicos de campanha nas fontes disponíveis é, em si, uma limitação relevante para quem está caçando essa exploração em ambiente próprio.