CVE-2026-73570: Zimbraのログファイル悪用がリモートコード実行を可能に

概要

CVE-2026-73570は、Zimbraメールコラボレーションソフトウェアに影響を与える認証されていないコマンドインジェクション脆弱性です。攻撃者は加工されたSMTPを送信することでこの欠陥を引き起こすことができます。 RCPT TO 特定のエントリを生成する要求で /var/log/zimbra.logに生成します。Swatchdogデーモンはこのエントリを脆弱なPerlスクリプトを介して後に解析し、zimbraユーザー権限で任意のリモートコード実行を可能にします。 zimbra ユーザー。

調査

研究者たちは不正なSMTPメッセージを送信し、結果として生成されたログエントリを分析することで完全なエクスプロイト連鎖を再現しました。多くの公的なPoCが失敗するのは、Swatchdogデーモンによって必要とされる正確な サービス状態の変化 パターンを生成しないためであることがわかりました。調査は、SNMP通知を担当するPerlスクリプトによって処理されるバッククォートを介してコマンドインジェクションが可能であることを確認しました。

緩和策

主な緩和策は、Zimbraをバージョン10.1.20以降にアップグレードすることです。また、Elastic Defendなどのセキュリティツールを使用したモニタリングを展開して、Swatchdog Perlプロセスから発生する異常なシェル実行を特定することも推奨されます。

対応

エクスプロイトが疑われる場合、調査者は一般的なRCE指標を追跡するべきです。これには疑わしい シェル or bash Perlによって生成された子プロセスが含まれます。防御者は、ローカルデータベースへの無許可のアクセス、署名キー、LDAPエクスポート、および脆弱化したZimbraメールサーバーから発生する不審なフィッシング活動もモニタリングすべきです。

シミュレーション実行

• 攻撃ストーリー＆コマンド： 攻撃者は、Perlベースのモニタリングユーティリティにコマンドインジェクションの脆弱性を特定しました。足跡を確立し、偵察を開始するために、攻撃者はPerlインタプリタにシェルを生成させるペイロードを注入します。これにより、サービスのコンテキストで複雑なコマンドを実行できます。目標は、プロセスツリーで bash が直接の子供である bash プロセスを生成し、検出ルールをトリガーすることです。 プロセスを生成し、検出ルールをトリガーすることです。 回帰テストスクリプト：

• #!/bin/bash # Zimbra Swatchdogシェルプロセス検出をトリガーするシミュレーションスクリプト # Perlからシェルを生成するコマンドインジェクションを模倣します。 echo “[*] シミュレーション開始: perlからbashを生成しています…” # perlを使用してシェルコマンドを実行します。 # これがプロセス階層を生成します: perl -> bash perl -e ‘system(“/bin/bash -c “echo SIMULATION_SUCCESSFUL””)’ echo “[*] シミュレーション完了。SIEMでアラートを確認してください。”

  クリーンアップコマンド：

• # このシミュレーションでは持続するアーティファクトは作成されません。 # クリーンアップは不要です。

  # No persistent artifacts are created by this simulation.
  # No cleanup required.