CVE-2026-73570: Abuso de Arquivos de Log do Zimbra Permite Execução Remota de Código

Resumo

CVE-2026-73570 é uma vulnerabilidade de injeção de comando não autenticada que afeta o software de colaboração por e-mail Zimbra. Um invasor pode explorar a falha enviando um SMTP forjado RCPT TO requisição que gera uma entrada específica em /var/log/zimbra.log. Mais tarde, o daemon Swatchdog analisa essa entrada através de um script Perl vulnerável, permitindo a execução remota de código arbitrário com os privilégios do usuário zimbra .

Investigação

Pesquisadores reproduziram toda a cadeia de exploração enviando mensagens SMTP malformadas e analisando as entradas de log resultantes. Eles descobriram que muitos PoCs públicos falham porque não geram o padrão exato Mudança de status do serviço necessário pelo daemon Swatchdog. A investigação confirmou que a injeção de comandos é possível através de crases processadas pelo script Perl responsável pelas notificações SNMP.

Mitigação

A principal mitigação é atualizar o Zimbra para a versão 10.1.20 ou posterior. As organizações também devem implementar monitoramento através de ferramentas de segurança como o Elastic Defend para identificar execuções de shell anômalas originadas do processo Perl do Swatchdog.

Resposta

Quando a exploração é suspeita, os investigadores devem procurar por indicadores comuns de RCE, incluindo shell or bash processos filhos criados pelo Perl. Defensores também devem monitorar o acesso não autorizado a bancos de dados locais, chaves de assinatura, exportações LDAP e atividade de phishing incomum originada do servidor de e-mail Zimbra comprometido.

Execução de Simulação

• Narrativa de Ataque & Comandos: Um invasor identificou com sucesso uma vulnerabilidade de injeção de comando em uma utilidade de monitoramento baseada em Perl. Para estabelecer uma presença e começar a análise, o invasor injeta um payload que força o interpretador Perl a criar um bash shell. Isso permite que o invasor execute comandos complexos através do contexto do serviço. O objetivo é produzir uma árvore de processos onde bash seja um filho direto de um perl processo, desencadeando assim a regra de detecção.

• Script de Teste de Regressão:

  #!/bin/bash
  # Script de simulação para acionar a detecção de processo de shell do Swatchdog Zimbra
  # Isso imita uma injeção de comando criando um shell a partir do Perl.
  
  echo "[*] Iniciando Simulação: Criando bash a partir do perl..."
  
  # Use perl para executar um comando de shell.
  # Isso cria a hierarquia de processos: perl -> bash
  perl -e 'system("/bin/bash -c "echo SIMULATION_SUCCESSFUL"")'
  
  echo "[*] Simulação completa. Verifique seus alertas no SIEM."

• Comandos de Limpeza:

  # Este simulação não cria artefatos persistentes.
  # Nenhuma limpeza necessária.