Zimbra corrige une faille critique Zero Day.

Zimbra corrige une vulnérabilité zero-day exploitée dans les attaques XSS.

Deux semaines après la divulgation initiale, Zimbra a publié des mises à jour de sécurité qui corrigent une vulnérabilité zero-day exploitée dans des attaques ciblant les serveurs de messagerie Zimbra Collaboration Suite (ZCS). Désormais identifiée comme CVE-2023-38750 , la faille de sécurité est un Cross-Site Scripting (XSS) réfléchi découvert par le chercheur en sécurité Clément Lecigne du Google Threat Analysis Group.


Zimbra Collaboration Suite est une suite de logiciels de collaboration, qui comprend un serveur de messagerie et un client Web, actuellement détenue et développée par Zimbra, Inc. Zimbra a été initialement développé par Zimbra, Inc., et publié en 2005. La société a ensuite été achetée par Yahoo! et plus tard vendue à VMware, le 12 janvier 2010. Le logiciel se compose d'une partie serveur et cliente ainsi que d'un client de messagerie. Deux versions de Zimbra sont disponibles : une version open-source, et une version supportée commercialement.

CVE-2023-38750. Une vulnérabilité XSS dans Zimbra Collaboration Suite Version 8.8.15 qui pourrait potentiellement avoir un impact sur la confidentialité et l’intégrité de vos données a fait surface. Un bogue pouvant entraîner l’exposition de fichiers JSP et XML internes a été corrigé.

De multiples vulnérabilités ont été découvertes dans Zimbra. Certaines d’entre elles permettent à un attaquant de provoquer un problème de sécurité non spécifié par l’éditeur, un contournement de la politique de sécurité et une atteinte à la confidentialité des données.


La confidentialité en informatique est un principe fondamental qui garantit la protection des données personnelles des utilisateurs. Elle implique que les informations sensibles soient accessibles uniquement aux personnes autorisées. Avec la prolifération des plateformes en ligne et des appareils connectés, la préservation de la confidentialité devient cruciale.

Les technologies telles que le chiffrement des données et les pare-feu jouent un rôle essentiel dans cette protection. Cependant, des préoccupations persistent concernant la collecte excessive de données par les entreprises et les gouvernements, mettant en péril la vie privée des individus. Ainsi, il est impératif de mettre en place des réglementations strictes et des pratiques de sécurité robustes pour préserver la confidentialité des données dans le monde numérique.

La confidentialité permet d'empêcher un accès non autorisé à des informations qui présentent un caractère sensible. Les intrusions dans les réseaux d'entreprise qui ne sont pas assez protégées, les négligences des personnes qui exposent des données non chiffrées, les niveaux insuffisants des contrôles d'accès sont autant de situations qui mettent en péril la confidentialité des données.

De plus en plus de navigateurs, comme par exemple QWant et surtout Brave, se lancent dans une politique de confidentialité des données de navigation. Nul doute que l'utilisation d'un Réseau Privé Virtuel (VPN) et l'utilisation de données dans un cloud sécurisé améliorent la confidentialité et la sécurité des échanges. En juin 2023, la société Proton lance son extension de navigateur Proton Pass. Un gestionnaire de mots de passe sécurisé, gratuit et open source


L'intégrité des données est une composante essentielle de la sécurité informatique. Elle garantit que les données sont exactes, complètes et fiables tout au long de leur cycle de vie. En assurant l'intégrité des données, les entreprises et les utilisateurs peuvent avoir confiance dans l'exactitude et la fiabilité des informations qu'ils manipulent.

L'intégrité physique concerne le matériel et les moyens mis en œuvre en matière de stockage, de sauvegarde et de récupération des données. L'intégrité logique se base sur la conservation des données relationnelles dans une base de données.

Pour maintenir l'intégrité des données, des mesures telles que le contrôle d'accès, la sauvegarde régulière, la vérification des données et l'utilisation de techniques de cryptage sont mises en œuvre. En négligeant l'intégrité des données, les risques de corruption, de perte ou de manipulation malveillante augmentent, compromettant ainsi la confiance et la crédibilité des systèmes informatiques.

L’utilisation de snakeYAML pour analyser des fichiers YAML non fiables peut être vulnérable aux attaques par déni de service (DOS). Si l’analyseur s’exécute sur une entrée fournie par l’utilisateur, un attaquant peut fournir un contenu qui provoque le blocage de l’analyseur par stackoverflow.


Les vulnérabilités Zero-day représentent l'une des menaces les plus sérieuses en informatique. Ces failles, encore inconnues des développeurs et des utilisateurs, sont exploitées par les cybercriminels avant qu'un correctif puisse être développé. L'impact peut être dévastateur, permettant aux attaquants d'accéder à des données sensibles, de prendre le contrôle de systèmes informatiques ou de propager des logiciels malveillants.

Les attaques Zero-day sont difficiles à anticiper et à contrer, mettant en lumière l'importance de la surveillance constante des systèmes, de l'application rapide des correctifs et de la mise en place de mesures de sécurité robustes pour atténuer les risques.

Les failles Zero-Day, souvent nommées "exploits" ne sont généralement pas utilisées dans les cyberattaques. L'objectif des attaquants est de tirer profit de ces vulnérabilités critiques en monnayant leur possible utilisation. Ce sont les grandes compagnies comme Microsoft ou Adobe ou encore les CES comme WordPress mais aussi les stockages des données dans le cloud qui sont la cible des cybermenaces de ces exploits. La découverte d'une faille critique est aussi rentable pour les hackers que l'exploitation d'un rançongiciel.


Le cross-site scripting (abrégé XSS), est un type de faille de sécurité des sites web permettant d'injecter du contenu dans une page, permettant ainsi de provoquer des actions sur les navigateurs web visitant la page. Les possibilités des XSS sont très larges puisque l'attaquant peut utiliser tous les langages pris en charge par le navigateur (JavaScript, Java, Flash...) et de nouvelles possibilités sont régulièrement découvertes notamment avec l'arrivée de nouvelles technologies comme HTML5. Il est par exemple possible de rediriger vers un autre site pour de l'hameçonnage ou encore de voler la session en récupérant les cookies. En exploitant les failles critiques Zero-Day, les cybercriminels lancent des attaques XSS dans le but d'insérer des scripts malveillants dans les sites internet. Les navigateurs sont incapables de distinguer l'origine des balises malwares de celles qui sont légitimes. Cette action donne aux pirates un accès complet aux informations confidentielles enregistrées par les internautes dans l'historique et les cookies de navigation.


Bleeping Computer est un site Web couvrant l'actualité technologique et offrant une aide informatique gratuite via ses forums, qui a été créé par Lawrence Abrams en 2004. Avec plus de 700 000 membres enregistrés qui posent des questions et y répondent, BleepingComputer.com est devenu une communauté dynamique et animée de personnes partageant les mêmes idées.

A propos de l'auteur

Retour en haut