Zimbra, lo zero-day nelle .ICS che ha preso di mira il mondo reale

Nei primi mesi del 2025 è stato scoperto e sfruttato in attacchi mirati un difetto di sicurezza nel client web “Classic” di Zimbra Collaboration: la vulnerabilità è stata tracciata come CVE-2025-27915 e consiste in una forma di Stored Cross-Site Scripting (XSS) legata al modo in cui Zimbra gestisce e renderizza il contenuto HTML presente in file iCalendar (.ICS). Il bug è stato impiegato in campagne che, secondo i primi report, hanno preso di mira organizzazioni sensibili (tra cui forze armate in Brasile) utilizzando calendari iCalendar appositamente costruiti per far eseguire codice nel contesto della sessione dell’utente.

Tecnicamente l’exploit sfrutta la scarsa sanitizzazione del contenuto HTML contenuto in un file .ICS: quando il web client Classic importa o visualizza l’evento del calendario, porzioni di HTML malevolo inserite nell’ICS non vengono filtrate correttamente e finiscono per essere eseguite nel browser della vittima come se fossero parte dell’interfaccia di Zimbra. Questo tipo di stored XSS si manifesta quando il payload fornito dall’attaccante viene memorizzato su server (qui: come parte dell’evento calendario) e poi servito a utenti legittimi, con la conseguenza che, aprendo o visualizzando l’evento, il browser esegue script sotto il dominio di Zimbra: da lì è possibile rubare cookie di sessione, token di autenticazione, esfiltrare contenuti visualizzati dall’utente o compiere azioni a nome della vittima all’interno dell’applicazione web.

Alcune fonti tecniche e i database di vulnerabilità classificano CVE-2025-27915 con un punteggio CVSS di gravità media (intorno a 5.4) e sottolineano che il vettore d’attacco principale è l’upload o l’invio di file .ICS contenenti payload HTML/script. Zimbra ha pubblicato e rilasciato patch che rafforzano la sanitizzazione degli input nel Classic Web Client e raccomanda l’aggiornamento alle release correttive indicate nelle note di sicurezza del progetto; molte organizzazioni hanno quindi dovuto porre in atto misure reattive per bloccare ulteriori tentativi di sfruttamento.

Dal punto di vista operativo, l’attacco tipico osservato dagli analisti segue questa catena: l’attaccante crea un evento iCalendar malevolo contenente HTML/script e lo invia o lo pubblica sul server Zimbra bersaglio (spesso via mail o attraverso calendari condivisi); l’evento viene memorizzato dal server; un utente legittimo apre o visualizza il calendario nel Classic Web Client e il payload viene eseguito nel suo browser; infine l’attaccante raccoglie credenziali, token, o effettua azioni impersonando l’utente compromesso. In alcuni report iniziali si segnala che gli operatori hanno impiegato proprio la funzionalità di importazione/anteprima dei calendari per raggiungere le vittime.

Quindi aggiornare Zimbra alla versione che contiene la correzione indicata dall’azienda; disabilitare temporaneamente il Classic Web Client se la vostra infrastruttura lo consente; bloccare o ispezionare gli allegati .ICS in ingresso a livello di gateway email o proxy web; applicare regole WAF per filtrare payload sospetti nelle richieste verso l’interfaccia web di Zimbra; monitorare i log per accessi anomali o per richieste che includano contenuti .ICS di dimensioni o strutture inconsuete; e infine considerare la rotazione dei token e delle sessioni per gli utenti potenzialmente esposti. Le stesse note ufficiali e gli avvisi dei CERT locali raccomandano la rapida applicazione degli aggiornamenti.

Dal punto di vista di rilevamento e risposta: cercate indicatori come file .ICS non attesi, eventi calendario con campi DESCRIPTION o ATTACH che contengono tag HTML/script, richieste POST/PUT verso endpoint calendar con payload insoliti, e attività di web session che eseguono azioni non riconducibili al normale comportamento degli utenti. È utile eseguire scansioni passive del traffico web per individuare referer o user agent anomali che mostrino tentativi di invio massivo di calendari, e utilizzare strumenti di EDR e SIEM per correlare eventuali prime fasi di esfiltrazione con l’accesso via webmail.

Mantenere aggiornati i server di posta e collaborazione è fondamentale, ma serve anche una strategia multilivello che includa controllo degli allegati, hardening delle interfacce web, regole WAF mirate e sensibilizzazione degli utenti su file e inviti calendar non attesi. Se gestite server Zimbra, verificate immediatamente le versioni del vostro deployment e applicate le patch pubblicate; se operate in ambito difesa o infrastrutture critiche, trattate questo incidente come alta priorità di sicurezza e procedete anche con analisi forense delle macchine e rotazione di credenziali qualora sia stata rilevata attività sospetta.