A Zimbra liberou correções para resolver várias falhas críticas de segurança, incluindo uma vulnerabilidade de injeção de comandos no componente de monitoramento do Simple Network Management Protocol (SNMP).
Ao todo, nove vulnerabilidades foram corrigidas na versão Zimbra 10.1.20.
A mais grave da lista é uma falha de injeção de comandos no componente de monitoramento SNMP quando as notificações SNMP estão ativadas.
Também foram corrigidas quatro falhas de cross-site scripting (XSS) no Classic Web Client:
- Uma vulnerabilidade de XSS armazenado que poderia permitir a execução de script por meio de nomes maliciosos de anexos, em condições específicas.
- Uma vulnerabilidade de XSS em que campos manipulados poderiam executar um script malicioso, sob determinadas condições.
- Uma vulnerabilidade de XSS em que um campo manipulado poderia executar um script malicioso quando renderizado.
- Uma vulnerabilidade de XSS em que anexos manipulados poderiam executar um script malicioso quando renderizados.
Separadamente, foram liberadas correções para uma falha de contorno da restrição de encaminhamento de e-mails, identificada como CVE-2026-50055, que poderia permitir que usuários autenticados exfiltrassem mensagens mesmo com a proteção de encaminhamento ativada.
O pesquisador de segurança da Rapid7, Jonah Burgess, foi creditado pela descoberta e pelo reporte da falha.
Em nota, a empresa afirmou que, “em linha com as melhores práticas do setor, a divulgação de informações é limitada em correções de vulnerabilidades de segurança”.
O lançamento ocorre pouco mais de uma semana após a Zimbra ter corrigido uma falha crítica de XSS armazenado no Classic Web Client, que poderia levar à execução arbitrária de código.
Embora nenhuma das vulnerabilidades identificadas tenha sido flagrada em exploração ativa, falhas de XSS em software de e-mail já foram repetidamente exploradas por agentes maliciosos no passado.
Por isso, é fundamental que os clientes apliquem as atualizações para manter o ambiente seguro.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...