CVE-2026-73570: Zimbra 로그 파일 남용으로 원격 코드 실행 가능

요약

CVE-2026-73570은 Zimbra 이메일 협업 소프트웨어에 영향을 미치는 인증되지 않은 명령 삽입 취약점입니다. 공격자는 조작된 SMTP 전송으로 이 결함을 트리거할 수 있습니다. RCPT TO 요청을 보내 /var/log/zimbra.log에 특정 항목을 생성합니다. 그 후 Swatchdog 데몬이 취약한 Perl 스크립트를 통해 이 항목을 파싱하여, zimbra 사용자 권한으로 임의의 원격 코드 실행이 가능합니다. zimbra 사용자.

조사

연구자들은 잘못된 형식의 SMTP 메시지를 보내고 생성된 로그 항목을 분석하여 전체 익스플로잇 체인을 재현했습니다. 많은 공개 PoC가 실패하는 이유는 Swatchdog 데몬이 요구하는 패턴을 정확히 생성하지 못하기 때문입니다. 서비스 상태 변경 조사는 SNMP 알림을 담당하는 Perl 스크립트에 의해 처리되는 backticks를 통해 명령 삽입이 가능하다는 점을 확인했습니다.

완화 조치

주요 완화 조치는 Zimbra를 버전 10.1.20 이상으로 업그레이드하는 것입니다. 조직은 또한 Elastic Defend와 같은 보안 도구를 통해 Swatchdog Perl 프로세스로부터 원격 쉘 실행을 식별하도록 모니터링을 배치해야 합니다.

대응

익스플로잇이 의심될 때, 조사자는 의심스러운 RCE 지표를 찾고, 의심스러운 쉘, bash 자식 프로세스를 Perl에 의해 생성하는 것을 찾아야 합니다. 방어자들은 또한 로컬 데이터베이스, 서명 키, LDAP 내보내기에 대한 무단 접근과 타격받은 Zimbra 메일 서버로부터 기원하는 비정상적인 피싱 활동을 모니터링해야 합니다. shell or bash child processes spawned by Perl. Defenders should also monitor for unauthorized access to local databases, signing keys, LDAP exports, and unusual phishing activity originating from the compromised Zimbra mail server.

시뮬레이션 실행

• 공격 내러티브 및 명령: 공격자는 Perl 기반 모니터링 유틸리티에서 명령 삽입 취약점을 성공적으로 식별했습니다. 입지를 구축하고 정보 수집을 시작하기 위해, 공격자는 Perl 인터프리터가 쉘을 생성하도록 강제하는 페이로드를 삽입합니다. bash 이를 통해 공격자는 서비스의 컨텍스트를 통해 복잡한 명령을 실행할 수 있습니다. 목표는 프로세스 트리를 생성하여 perl의 직접적인 자식인 bash 를 만들고 이로 인해 탐지 규칙을 트리거하는 것입니다. perl 프로세스입니다.

• 회귀 테스트 스크립트:

  #!/bin/bash
  # Zimbra Swatchdog 쉘 프로세스 탐지를 트리거하기 위한 시뮬레이션 스크립트
  # 이 스크립트는 Perl에서 쉘을 생성하는 명령 삽입을 모방합니다.
  
  echo "[*] 시뮬레이션 시작: perl에서 bash 생성 중..."
  
  # perl을 사용하여 쉘 명령을 실행합니다. 
  # 이 작업은 프로세스 계층을 생성합니다: perl -> bash
  perl -e 'system("/bin/bash -c "echo SIMULATION_SUCCESSFUL"")'
  
  echo "[*] 시뮬레이션 완료. SIEM에서 경고를 확인하십시오."

• 정리 명령:

  # 이 시뮬레이션은 영구적인 아티팩트를 생성하지 않습니다.
  # 정리가 필요 없습니다.