Betroffen ist die Zimbra Collaboration Suite, genauer die Verarbeitung von Rechtevergabe-Anfragen (GrantRightsRequest). Dort greift die Berechtigungsprüfung zu kurz: Wer Zugriff auf ein bereits angemeldetes Konto hat, kann einem beliebigen anderen lokalen Konto das Recht einräumen, sich als dieser Nutzer anzumelden. Dadurch entsteht ein dauerhafter Zugang zum fremden Postfach einschließlich der Möglichkeit, in dessen Namen E-Mails zu versenden. Besonders problematisch ist die Beständigkeit dieser Rechtevergabe: Sie bleibt bestehen, auch wenn das Passwort des betroffenen Kontos geändert wird oder bestehende Sitzungen ablaufen. Übliche Reaktionsmaßnahmen nach einem Vorfall greifen damit nicht, und ein Angreifer behält seinen Zugriff unbemerkt über längere Zeit. Der Fehler eignet sich daher vor allem dazu, einen einmal erlangten Zugang in eine dauerhafte Präsenz im Mailsystem zu verwandeln und sich im Postfachbestand einer Organisation auszubreiten.