Zimbra, Basit Ağ Yönetim Protokolü (SNMP) izleme bileşenindeki bir komut enjeksiyonu açığı da dahil olmak üzere birden fazla kritik güvenlik sorununu gidermek için yamalar yayınladı.
Zimbra 10.1.20 sürümünde toplam dokuz güvenlik açığı kapatıldı. Bunların başında, SNMP bildirimleri etkinleştirildiğinde SNMP izleme bileşeninde ortaya çıkan bir komut enjeksiyonu açığı geliyor.
Ayrıca Klasik Web İstemcisi'ndeki dört siteler arası betik çalıştırma (XSS) açığı da giderildi:
- Kötü niyetli ek dosya adlarının belirli koşullar altında betik çalıştırmasına olanak tanıyan depolanmış bir XSS açığı.
- Belirli koşullar altında hazırlanmış alanların kötü niyetli betik çalıştırabildiği bir XSS açığı.
- İşlendiğinde hazırlanmış bir alanın kötü niyetli betik çalıştırabildiği bir XSS açığı.
- İşlendiğinde hazırlanmış eklerin kötü niyetli betik çalıştırabildiği bir XSS açığı.
Ayrıca, e-posta iletme kısıtlamalarını aşmaya olanak tanıyan bir açık (CVE-2026-50055) için de yama yayınlandı. Bu açık, kimliği doğrulanmış kullanıcıların e-posta iletme kısıtlamaları etkin olsa bile e-postaları sızdırmasına olanak tanıyordu. Rapid7 güvenlik araştırmacısı Jonah Burgess, bu açığı keşfedip bildirdiği için teşekkür aldı.
Şirket, "sektördeki en iyi uygulamalara uygun olarak, güvenlik açığı düzeltmeleri için bilgi paylaşımı sınırlıdır" diyerek ek ayrıntı paylaşmadı.
Bu güncelleme, Zimbra'nın Klasik Web İstemcisi'nde rastgele kod çalıştırılmasına yol açabilen kritik bir depolanmış XSS açığını yamalamasından bir haftadan kısa bir süre sonra geldi.
Tanımlanan güvenlik açıklarından hiçbirinin aktif olarak istismar edildiği tespit edilmemiş olsa da, e-posta yazılımındaki XSS hataları geçmişte kötü niyetli aktörler tarafından defalarca istismar edildi. Bu nedenle müşterilerin ortamı güvende tutmak için güncellemeleri uygulaması kritik önem taşıyor.
