CERT Polska meldet fünf Schwachstellen in Zimbra Collaboration und im Signaturprogramm Szafir. Zimbra 10.1.21 behebt zwei XSS-Lücken. Szafir Build 708 der Version 2.0 behebt drei Lücken. Szafir Weryfikująca bleibt ungepatcht, weil die Anwendung nicht mehr unterstützt wird.
Inhalt 6 Abschnitte
CERT Polska meldet fünf Schwachstellen in zwei Produkten: zwei in der Mailsoftware Zimbra Collaboration, drei im Signaturprogramm Szafir. Für beide Produkte gibt es laut den Meldungen Updates. Eine Ausnahme bleibt offen.
Das Wichtigste in Kürze
- Zimbra hat zwei XSS-Lücken. Sie tragen die Nummern CVE-2026-66911 und CVE-2026-66912. Version 10.1.21 behebt beide.
- Szafir hat drei Lücken. Betroffen sind XXE-Injection, Path Traversal und eine fehlende Zertifikatsprüfung. Build 708 der Version 2.0 behebt sie.
- Szafir Weryfikująca bleibt ungepatcht. Die Anwendung wird nicht mehr unterstützt und erhält keine Korrektur.
- Die Funde stammen aus Forschung und Meldungen. Ein CERT-Mitarbeiter fand die Zimbra-Lücken selbst. Die Szafir-Lücken kamen als externe Meldung.
Zimbra: Zwei Wege zu Schadcode im Browser
CERT Polska hat in einer eigenen Untersuchung zwei Stored-XSS-Lücken in Zimbra Collaboration gefunden. Ein Mitarbeiter des Teams hat die Offenlegung auch mitkoordiniert. Die Meldung erschien Anfang Oktober 2026 auf der Seite von CERT Polska. Ein genaues Datum der Erstveröffentlichung und der letzten Aktualisierung nennt die Quelle nicht. Der Beitrag liegt im Monatsordner Oktober 2026.
Bei CVE-2026-66911 liegt der Fehler im MIME-Header Content-Location von E-Mail-Anhängen. Zimbra prüft diesen Wert nicht. Ein Angreifer kann dort eine javascript:-Adresse setzen. Er braucht dafür kein Konto. Er schickt dem Opfer eine präparierte Mail. Das Opfer öffnet sie im Webclient und klickt auf den Namen des Anhangs. Dann läuft der Code im Browser des Opfers.
Dabei war CERT Polska nicht allein: Suraj Disoja von TrustFoundry hat denselben Fund unabhängig gemeldet. Er hat den Hersteller informiert.
Bei CVE-2026-66912 geht es um den From-Header in der Classic UI. Zimbra bereinigt ihn beim Antworten im HTML-Modus nur unzureichend. Der Angriff greift unter diesen Bedingungen:
- Das Opfer öffnet die Mail in der Classic UI.
- Es klickt auf Antworten.
- Der HTML-Modus ist aktiv und die Antwort-Header sind ausgeschaltet.
Dann wird der manipulierte Header als HTML dargestellt, und das JavaScript läuft. Laut CERT Polska kann der Angreifer so Sitzungsdaten stehlen oder Aktionen im Namen des Opfers auslösen.
Szafir: Drei Lücken im Signaturprogramm
In der Anwendung Szafir haben Prüfer drei Lücken gefunden. Mikus Teivens vom Team Critical Security hat sie gemeldet. CERT Polska hat die Offenlegung koordiniert. Die Details stehen im zweiten Beitrag von CERT Polska. Auch hier nennt die Quelle kein genaues Datum.
| Kennung | Fehlerart | Einordnung |
|---|---|---|
CVE-2026-93570 |
XXE-Injection |
Angreifer können beliebige Dateien vom System des Opfers lesen. Betrifft Szafir und Szafir Weryfikująca. |
CVE-2026-93571 |
Path Traversal |
Ein Man-in-the-Middle kann eine XML-Datei an einem frei gewählten Ort ablegen. |
CVE-2026-106036 |
Keine Zertifikatsprüfung |
Die App akzeptiert jedes Zertifikat. Ein Angreifer kann so Update-Dateien einschleusen. |
Bei der XXE-Lücke genügt es, dass ein Nutzer eine präparierte XML-Datei signiert oder prüft. Die Datei enthält einen DOCTYPE mit Verweis auf ein externes DTD. Der Parser verarbeitet externe Entitäten und gibt dadurch Dateien preis.
Die anderen beiden Lücken hängen am Update-Weg. Ein Angreifer im Netzwerk lenkt die Update-Anfrage auf seinen Server um. Weil Zertifikat und Hostname nicht geprüft werden, nimmt die App seine Daten an.
Einordnung: Was das für Admins in der Schweiz heisst
Deshalb gilt für Administratoren, die Zimbra betreiben: Prüfe, welche Version läuft. Alles unter 10.1.21 enthält laut CERT Polska beide XSS-Lücken. Plane das Update zeitnah, denn die Angriffe brauchen nur eine Mail und einen Klick. Eine Frist nennt die Quelle nicht. Szafir ist ein polnisches Produkt, die Quellen sagen nichts zu einer Verbreitung in der Schweiz. Wer es dennoch einsetzt, braucht Build 708 der Version 2.0. Szafir Weryfikująca sollte ersetzt oder abgeschaltet werden, da kein Fix kommt. Kosten nennen die Quellen nicht. Ob die Updates lizenzpflichtig sind, geht aus den Meldungen nicht hervor.
Fazit
Du hast jetzt die Fixstände: Zimbra 10.1.21 und Szafir Build 708 der Version 2.0. Prüfe als Nächstes die installierten Versionen und spiele die Updates ein. Für Szafir Weryfikująca suchst du eine Alternative. Weitere Angaben zu den Kennungen findest du bei CVE-2026-66911 und CVE-2026-93570. Wer einen Vorfall melden will, nutzt incydent.cert.pl.
Quellen: CERT Polska, CERT Polska. Foto: Techmanic / Pixabay. Stand: 29. Oktober 2026.
Geschrieben von der Redaktion · Freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.