CVE-2026-73570: Зловживання файлами журналів Zimbra дозволяє віддалене виконання коду

Резюме

CVE-2026-73570 — це уразливість ін’єкції команд без аутентифікації, що впливає на програмне забезпечення Zimbra Email Collaboration. Зловмисник може викликати цю помилку, надіславши сформований запит SMTP RCPT TO що створює певний запис в /var/log/zimbra.log. Демон Swatchdog пізніше обробляє цей запис через уразливий Perl-скрипт, що дозволяє виконання довільного коду віддалено з привілеями користувача zimbra .

Розслідування

Дослідники відтворили повний ланцюг експлойту, відправивши неправильні повідомлення SMTP і аналізуючи отримані записи журналу. Вони з’ясували, що багато публічних Proof of Concepts не працюють, бо не створюють точний Зміна статусу служби шаблон, необхідний для демона Swatchdog. Розслідування підтвердило, що ін’єкція команд можлива через зворотні лапки, які обробляються Perl-скриптом, відповідальним за SNMP-сповіщення.

Пом’якшення

Основне пом’якшення — це оновлення Zimbra до версії 10.1.20 або пізнішої. Організаціям також слід впроваджувати моніторинг через засоби безпеки, такі як Elastic Defend, щоб виявити аномальне виконання оболонки, що походить від процесу Swatchdog Perl.

Реакція

Коли підозрюється експлуатація, слідчі повинні шукати загальні RCE індикатори, включаючи підозрілі оболонка or bash породжені дочірні процеси Perl. Оборонці також повинні стежити за несанкціонованим доступом до локальних баз даних, ключів підпису, експортів LDAP і незвичайною фішинговою активністю, що походить від компрометованого поштового сервера Zimbra.

Виконання симуляції

• Розповідь атаки та команди: Зловмисник успішно виявив вразливість ін’єкції команд в утиліті моніторингу на базі Perl. Для встановлення стійкості та початку рекогносцировки зловмисник ін’їкує навантаження, яке змушує інтерпретатор Perl запустити bash оболонку. Це дозволяє зловмиснику виконувати складні команди в контексті служби. Мета — створити дерево процесів, де bash є прямим нащадком perl процесу, тим самим активуючи правило виявлення.

• Скрипт регресійного тестування:

  #!/bin/bash
  # Симуляційний скрипт для виявлення процесу оболонки Zimbra Swatchdog
  # Це імітує ін’єкцію команд, що споновить оболонку з Perl.
  
  echo "[*] Початок симуляції: Створення bash з perl..."
  
  # Використовуйте perl для виконання команди оболонки. 
  # Це створює ієрархію процесів: perl -> bash
  perl -e 'system("/bin/bash -c "echo SIMULATION_SUCCESSFUL"")'
  
  echo "[*] Симуляція завершена. Перевірте ваш SIEM на наявність сповіщень."

• Команди очищення:

  # Постійні артефакти не створюються цією симуляцією.
  # Очищення не потрібно.