CVE-2025-25064: SQL Injection in Zimbra

Zimbra ist eine weit verbreitete Collaboration- und Groupware-Plattform, die Unternehmen und Organisationen vor allem für E-Mail, Kalender, Kontakte und Aufgaben-Management nutzen. Die Lösung umfasst einen Server mit umfangreichen Funktionen (z. B. Webmail, mobile Synchronisierung) und wird häufig als On-Premises- oder Cloud-Variante eingesetzt.

Nach jüngsten Erkenntnissen weist Zimbra Collaboration in den Versionen 10.0.x vor 10.0.12 sowie 10.1.x vor 10.1.4 eine Sicherheitslücke (CVE-2025-25064) in der Komponente „ZimbraSync Service SOAP endpoint“ auf, die als SQL-Injection klassifiziert ist. Diese Schwachstelle entsteht durch unzureichende Eingabesäuberung eines von Anwendern gesendeten Parameters. Authentifizierte Angreifer können so manipulierte Anfragen an den Server senden, wodurch sich potenziell beliebige SQL-Befehle ausführen lassen. Auf diese Weise können zum Beispiel E-Mail-Metadaten abgegriffen oder andere vertrauliche Informationen ausgelesen werden. Die CVSS Bewertung 9.8 CRITICAL mit Vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H deutet darauf hin, dass diese Lücke besonders einfach ausnutzbar und gefährlich ist.

Anwenderinnen und Anwender von Zimbra sollten jedoch rasch handeln und auf die Versionen 10.0.12 bzw. 10.1.4 oder höher aktualisieren, in denen das Problem behoben ist. Zusätzliche Informationen und Sicherheits-Hinweise finden sich in den offiziellen Zimbra-Sicherheitsadvisories sowie den entsprechenden Release Notes.

Tags :

Related Posts

Bitwarden macht zweiten Faktor zur Pflicht

Bitwarden hat angekündigt, die Zugangssicherheit seiner Nutzerkonten zu erhöhen, indem für Konten ohne aktivierte Zwei-Faktor-Authentifizierung (2FA) künftig beim Anmelden auf neuen Geräten ein Bestätigungscode per E-Mail abgefragt wird. Dieses Verfahren lässt sich als eine Art “2FA light” beschreiben und soll im Februar in Kraft treten. Passwort-Tresore (Vaults) gelten als attraktives Ziel für Angreifer, sodass Bitwarden auf die Bedeutung starker Passwörter und zusätzlicher Schutzmaßnahmen hinweist. Wer bereits eine 2FA-Lösung oder ein Single-Sign-On-Verfahren nutzt, muss keinen zusätzlichen E-Mail-Code eingeben. Bitwarden weist jedoch darauf hin, dass es unter Umständen problematisch werden kann, wenn man das Kennwort für sein E-Mail-Konto ausschließlich im Bitwarden-Tresor speichert und keine 2FA aktiviert hat – ohne Zugriff auf das Mail-Konto ließe sich dann auch der Passwort-Tresor nicht mehr freischalten. Am sichersten sei daher ein starkes Passwort in Verbindung mit einem zweistufigen Login mittels 2FA.

Read More

Smartphones – neue Studie zeigt: Phishing auch hier Sicherheitsrisiko Nr. 1

Dr. Martin J. Krämer, Security Awareness Advocate bei KnowBe4Omdia hat vor kurzem die Ergebnisse einer neuen Globalumfrage unter Smartphone-Nutzern vorgestellt. Deren Fazit: auch wenn es um Smartphones geht, stellen Phishing-Angriffe derzeit das mit Abstand größte Sicherheitsrisiko dar. Fast ein Viertel aller Befragten, knapp 24 Prozent, gab in der Umfrage zu Protokoll, schon mindestens einmal Opfer eines Phishing-Angriffs auf ihr Smartphone geworden zu sein. An zweiter Stelle folgten Malware und Viren (knapp 20 Prozent) – die in aller Regel in Begleitung von Social Engineering-Angriffen in die Systeme ihrer Opfer gelangen.

Read More

ChatGPT-4o: Jailbreak-Exploit "Time Bandit"

Das CERT Coordination Center (CERT/CC) hat eine Schwachstelle in ChatGPT-4o entdeckt, die als “Time Bandit” bekannt ist. Dieser Exploit erlaubt es Angreifern, die Sicherheitsmechanismen des KI-Modells zu umgehen und Inhalte zu generieren, die sonst blockiert würden. Der Angriff erfolgt durch gezielte Befragung des Chatbots zu historischen Zeiträumen, wodurch eine sogenannte “Timeline-Confusion” entsteht.

Read More