Un groupe d'espionnage russe a exploité Zimbra Zero-Day pour voler du courrier et des codes 2FA

Un groupe d'espionnage soutenu par l'État russe a passé des mois à lire les boîtes aux lettres occidentales grâce à une faille alors inconnue dans le client de messagerie Web de Zimbra.

La charge utile va après les 90 derniers jours de courrier électronique, l'intégralité du répertoire de messagerie de l'organisation, le mot de passe enregistré dans le navigateur et les codes conservés pour une récupération à deux facteurs. Il suffisait d'ouvrir le message pour le démarrer.

La NSA, la CISA et les agences partenaires ont publié jeudi un avis conjoint sur la campagne, parallèlement aux recherches de l'unité 42 de Palo Alto Networks et de Proofpoint.

L'avis qualifie cette technique de « exploit basé sur la vue qui nécessite uniquement qu'un utilisateur visualise un e-mail malveillant » dans un client vulnérable. Il indique que les acteurs ciblent et compromettent les gouvernements occidentaux et les organisations commerciales via Zimbra depuis au moins juillet 2025.

Le défaut,CVE-2025-66376, est une vulnérabilité de script intersite stockée dans l'interface utilisateur classique de Zimbra. Un e-mail HTML contrefait abuse du CSS@importergestion pour exécuter JavaScript dans une session de messagerie Web authentifiée, de sorte que la charge utile hérite de l'accès de l'utilisateur à la boîte aux lettres.

Les deux enregistrements CVSS n...
[Courte citation de 8% de l'article original]