CVE-2026-73570: Abuso dei File di Log di Zimbra Abilita l’Esecuzione di Codice Remoto

Riassunto

CVE-2026-73570 è una vulnerabilità di injection di comandi senza autenticazione che interessa il software di collaborazione email Zimbra. Un attaccante può attivare il difetto inviando un SMTP artigianale RCPT TO richiesta che genera un’entrata specifica in /var/log/zimbra.log. Il demone Swatchdog in seguito analizza questa entrata tramite uno script Perl vulnerabile, consentendo l’esecuzione remota arbitraria di codice con i privilegi dell’utente zimbra .

Indagine

I ricercatori hanno riprodotto la catena completa di exploit inviando messaggi SMTP formattati male e analizzando le entrate del log risultanti. Hanno scoperto che molte PoC pubbliche falliscono perché non generano l’esatto Cambiamento di stato del servizio modello richiesto dal demone Swatchdog. L’indagine ha confermato che l’injection di comandi è possibile tramite i backtick elaborati dallo script Perl responsabile delle notifiche SNMP.

Mitigazione

La mitigazione principale consiste nell’aggiornare Zimbra alla versione 10.1.20 o successiva. Le organizzazioni dovrebbero anche implementare monitoraggio tramite strumenti di sicurezza come Elastic Defend per identificare esecuzioni anomale di shell originate dal processo Perl di Swatchdog.

Risposta

Quando si sospetta un’esploitazione, gli investigatori dovrebbero cercare gli indicatori comuni di RCE, inclusi processi shell figli avviati da Perl. I difensori dovrebbero anche monitorare l'accesso non autorizzato ai database locali, chiavi di firma, esportazioni LDAP e attività di phishing insolite provenienti dal server mail Zimbra compromesso. or figli avviati da Perl. I difensori dovrebbero anche monitorare l'accesso non autorizzato ai database locali, chiavi di firma, esportazioni LDAP e attività di phishing insolite provenienti dal server mail Zimbra compromesso. child processes spawned by Perl. Defenders should also monitor for unauthorized access to local databases, signing keys, LDAP exports, and unusual phishing activity originating from the compromised Zimbra mail server.

Esecuzione Simulazione

• Narrativa e Comandi di Attacco: Un attaccante ha identificato con successo una vulnerabilità di injection di comandi in un’utility di monitoraggio basata su Perl. Per stabilire un’impronta e iniziare la ricognizione, l’attaccante inietta un payload che costringe l’interprete Perl a generare una figli avviati da Perl. I difensori dovrebbero anche monitorare l'accesso non autorizzato ai database locali, chiavi di firma, esportazioni LDAP e attività di phishing insolite provenienti dal server mail Zimbra compromesso. shell. Ciò consente all’attaccante di eseguire comandi complessi attraverso il contesto del servizio. L’obiettivo è produrre un albero di processi in cui figli avviati da Perl. I difensori dovrebbero anche monitorare l'accesso non autorizzato ai database locali, chiavi di firma, esportazioni LDAP e attività di phishing insolite provenienti dal server mail Zimbra compromesso. è un figlio diretto di un perl processo, innescando così la regola di rilevamento.

• Script di Test di Regressione:

  #!/bin/bash
  # Script di simulazione per attivare la Rilevazione Processo Shell Swatchdog Zimbra
  # Questo imita un'injection di comandi che genera una shell da Perl.
  
  echo "[*] Inizio Simulazione: Generazione di bash da perl..."
  
  # Usa perl per eseguire un comando di shell. 
  # Questo crea la gerarchia di processi: perl -> bash
  perl -e 'system("/bin/bash -c "echo SIMULATION_SUCCESSFUL"")'
  
  echo "[*] Simulazione completata. Controlla il tuo SIEM per gli avvisi."

• Comandi di Pulizia:

  # Questo simulazione non crea artefatti persistenti.
  # Nessuna pulizia richiesta.