CVE-2026-73570 : Exploitation des fichiers journaux de Zimbra permettant l’exécution de code à distance

Résumé

CVE-2026-73570 est une vulnérabilité d’injection de commande non authentifiée affectant le logiciel de collaboration par e-mail Zimbra. Un attaquant peut déclencher la faille en envoyant un SMTP créé RCPT TO requête qui génère une entrée spécifique dans /var/log/zimbra.log. Le démon Swatchdog analyse cette entrée via un script Perl vulnérable, permettant l’exécution de code à distance arbitraire avec les privilèges de l’utilisateur zimbra .

Enquête

Les chercheurs ont reproduit la chaîne d’exploit complète en envoyant des messages SMTP mal formés et en analysant les entrées de journal résultantes. Ils ont découvert que de nombreux PoC publics échouent car ils ne génèrent pas le Changement d'état du service modèle exact requis par le démon Swatchdog. L’enquête a confirmé que l’injection de commande est possible via les backticks traités par le script Perl responsable des notifications SNMP.

Atténuation

La principale atténuation consiste à mettre à jour Zimbra vers la version 10.1.20 ou ultérieure. Les organisations devraient également déployer une surveillance via des outils de sécurité tels que Elastic Defend pour identifier l’exécution anormale de shell provenant du processus Perl Swatchdog.

Réponse

Lorsqu’une exploitation est suspectée, les enquêteurs doivent rechercher des indicateurs courants de RCE, y compris des shell or bash processus enfants suspects générés par Perl. Les défenseurs doivent également surveiller les accès non autorisés aux bases de données locales, les clés de signature, les exportations LDAP et les activités de phishing inhabituelles provenant du serveur de messagerie Zimbra compromis.

Exécution de simulation

• Narration de l’attaque et commandes : Un attaquant a réussi à identifier une vulnérabilité d’injection de commande dans un utilitaire de surveillance basé sur Perl. Pour établir une empreinte et commencer la reconnaissance, l’attaquant injecte une charge utile qui force l’interpréteur Perl à générer un bash shell. Cela permet à l’attaquant d’exécuter des commandes complexes via le contexte du service. Le but est de produire un arbre de processus où bash est un enfant direct d’un perl processus, déclenchant ainsi la règle de détection.

• Script de test de régression :

  #!/bin/bash
  # Script de simulation pour déclencher la détection de processus shell Swatchdog Zimbra
  # Cela imite une injection de commande générant un shell depuis Perl.
  
  echo "[*] Démarrage de la simulation : génération de bash depuis perl..."
  
  # Utilisez perl pour exécuter une commande shell. 
  # Cela crée la hiérarchie de processus : perl -> bash
  perl -e 'system("/bin/bash -c "echo SIMULATION_SUCCESSFUL"")'
  
  echo "[*] Simulation complète. Vérifiez les alertes dans votre SIEM."

• Commandes de nettoyage :

  # Aucun artefact persistant n'est créé par cette simulation.
  # Aucun nettoyage requis.