Zimbra 66 is de samenwerkingsmailclient die is uitgerold door de départementale raad van de Pyrénées-Orientales (CD 66) voor al zijn medewerkers. Naast het verzenden en ontvangen van e-mails centraliseert het platform gedeelde agenda’s, adressenboeken en taakbeheer. De vraag die zich voor elke afdeling en elke dienst stelt: welke instellingen en praktijken stellen ons werkelijk in staat om optimaal gebruik te maken van dit hulpmiddel, en welke risico’s blijven nog onder de radar?
Beveiliging van Zimbra 66: gedocumenteerde kwetsbaarheden en te volgen correcties
De meeste handleidingen over Zimbra in de overheden richten zich op de verbinding en de personalisatie van de interface. De beveiligingsaspecten blijven echter het meest kritieke punt voor een administratie die persoonlijke gegevens van duizenden gebruikers verwerkt.
Verschillende recente kwetsbaarheden hebben de klassieke webclient van Zimbra getroffen, waaronder het wachtwoordherstel, het WebDAV-protocol en de integratie van OnlyOffice. Sommige van deze kwetsbaarheden zijn opgenomen in de catalogus van geëxploiteerde kwetsbaarheden van de CISA (Amerikaanse cyberspace-agentschap), wat wijst op actieve exploitatie door aanvallers.
Voor een départementale IT-afdeling betekent dit een formele procedure: het volgen van de adviezen die door de uitgever Zimbra zijn gepubliceerd, testen in een pre-productieomgeving, en vervolgens snelle toepassing van de correcties op de productie-servers. Een simpele herinnering aan de medewerkers om “een sterk wachtwoord te kiezen” dekt dit risico niet.
Medewerkers die beter willen begrijpen wat de functionele reikwijdte van deze maildienst is, kunnen Zimbra 66 gebruiken met Le Off als startpunt voordat ze dieper ingaan op de technische aspecten die hier worden beschreven.
| Zimbra-component | Gerapporteerd type kwetsbaarheid | Aanbevolen maatregel |
|---|---|---|
| Klassieke webclient | XSS-kwetsbaarheid | Bijwerken van de client, invoerfiltering |
| Wachtwoordherstel | Authenticatie omzeiling | Controle van resetstromen |
| WebDAV | MFA-omzeiling | Deactiveer het protocol als het niet wordt gebruikt |
| Integratie OnlyOffice | Uitvoering van code op afstand | Prioritaire correctie van de uitgever |
| ICS-bijlagen (agenda’s) | Opgeslagen XSS via uitnodiging | Filteren van agenda-bijlagen |
Multifactorauthenticatie: waarom webmail niet voldoende is
Het activeren van multifactorauthenticatie (MFA) op de webinterface van Zimbra 66 is een eerste stap. Echter, de MFA moet alle toegang protocollen dekken, niet alleen de browser.
Recente informatie meldt een omzeiling van MFA via WebDAV in bepaalde getroffen versies. Een medewerker die zijn e-mail synchroniseert op een smartphone via ActiveSync of die een zware client (Thunderbird, Outlook) gebruikt, kan dus toegang krijgen tot zijn inbox zonder dubbele verificatie, als deze protocollen niet zijn gedekt.
Protocollen die in het MFA-beleid moeten worden opgenomen
- Webmailtoegang (browserinterface): standaard gedekt in de meeste configuraties, maar te controleren na elke update
- Mobiele synchronisatie (ActiveSync, CalDAV, CardDAV): vaak vergeten, terwijl professionele telefoons de toegangspunten vermenigvuldigen
- Zware IMAP/SMTP-clients: als medewerkers Thunderbird of een andere client gebruiken, moet de IMAP-stroom aan dezelfde eisen voldoen
- Zimbra-beheerinterface: een gecompromitteerde toegang tot de beheerconsole geeft volledige controle over alle inboxen
De meest directe aanbeveling voor de IT-afdeling van CD 66: deactiveer ongebruikte protocollen in de serverconfiguratie. Minder open deuren, minder aanvalsvlak.
Gedeelde agenda’s Zimbra 66: aanvalsvlak en best practices
Gedeelde agenda’s worden vaak gepresenteerd als een eenvoudig coördinatietool tussen diensten. In Zimbra vormen ze ook een specifiek aanvalsvlak.
Een opgeslagen XSS-kwetsbaarheid is gedocumenteerd: deze kon worden geactiveerd door een speciaal ontworpen ICS-bijlage die werd verzonden als een kalenderuitnodiging. Door deze uitnodiging te openen, voerde een medewerker onbewust kwaadaardige code uit in zijn browser.
Twee concrete maatregelen verminderen dit risico:
De IT-afdeling zou de Zimbra-server moeten configureren om ICS-bijlagen van externe domeinen te filteren of in quarantaine te plaatsen. Medewerkers doen er goed aan om nooit automatisch een kalenderuitnodiging van een onbekende afzender te accepteren. De instelling bevindt zich in de voorkeuren van de Zimbra-agenda, sectie “Ontvangst van uitnodigingen”.
Zimbra 66 en AVG-naleving: verplichtingen bij een incident
Het gebruik van Zimbra in een départementale administratie valt onder een strikte regelgeving. Elke datalek via de maildienst vormt een AVG-incident dat binnen een beperkte termijn aan de CNIL moet worden gemeld.
De meest voorkomende scenario’s zijn geen geavanceerde cyberaanvallen. Een e-mail die naar de verkeerde ontvanger is gestuurd, een gedeelde inbox waarvan de toegangsrechten niet zijn herzien na een vertrek, of een account dat is gecompromitteerd door phishing, zijn genoeg om de meldingsplicht te activeren.
Procedure te formaliseren in elke richting
De DPO-cel van het departement moet beschikken over een duidelijk meldingscircuit. De medewerker die constateert dat een e-mail met persoonlijke gegevens naar een verkeerde ontvanger is gestuurd, moet weten wie te waarschuwen, binnen welke termijn, en met welke informatie. Dit circuit moet minstens één keer per jaar worden getest, en niet alleen gedocumenteerd in een IT-charter die niemand leest.
Zimbra 66 biedt logfuncties die het mogelijk maken om de chronologie van een incident te reconstrueren. Deze logs moeten worden bewaard en toegankelijk zijn voor de DPO-cel om te voldoen aan de traceerbaarheidseisen van de CNIL.
De zwakste schakel in de optimalisatie van Zimbra 66 binnen CD 66 is niet de interface of de ergonomie. Het is de kloof tussen de technische mogelijkheden van het platform en de procedures die daadwerkelijk door de afdelingen worden toegepast, of het nu gaat om het volgen van beveiligingscorrecties, de reikwijdte van de MFA of het beheer van AVG-incidenten. Het verkleinen van deze kloof vereist minder budget dan organisatorische strengheid.
