CVE-2026-73570: Missbrauch von Zimbra-Protokolldateien ermöglicht Remote-Code-Ausführung

Zusammenfassung

CVE-2026-73570 ist eine nicht authentifizierte Befehlsinjektions-Schwachstelle, die die Zimbra-E-Mail-Kollaborationssoftware betrifft. Ein Angreifer kann die Schwachstelle auslösen, indem er eine manipulierte SMTP RCPT TO -Anforderung sendet, die einen bestimmten Eintrag in /var/log/zimbra.log erzeugt. Der Swatchdog-Daemon analysiert später diesen Eintrag durch ein verwundbares Perl-Skript, wodurch remote Code-Ausführung mit den Privilegien des zimbra -Benutzers ermöglicht wird.

Untersuchung

Forscher reproduzierten die gesamte Exploit-Kette, indem sie fehlerhafte SMTP-Nachrichten sendeten und die resultierenden Protokolleinträge analysierten. Sie stellten fest, dass viele öffentliche PoCs fehlschlagen, weil sie nicht das genaue Muster für den Dienststatuswechsel erzeugen, das vom Swatchdog-Daemon erforderlich ist. Die Untersuchung bestätigte, dass eine Befehlsinjektion durch Backticks möglich ist, die vom Perl-Skript, das für SNMP-Benachrichtigungen verantwortlich ist, verarbeitet werden.

Minderung

Die Hauptmaßnahme zur Minderung ist das Upgrade von Zimbra auf Version 10.1.20 oder höher. Organisationen sollten auch die Überwachung durch Sicherheitstools wie Elastic Defend bereitstellen, um anomale Schaltausführungen zu identifizieren, die vom Swatchdog-Perl-Prozess stammen.

Reaktion

Bei Verdacht auf Ausbeutung sollten Ermittler nach üblichen RCE-Indikatoren suchen, einschließlich verdächtiger Shell or bash Kindprozessen, die von Perl erzeugt werden. Verteidiger sollten auch den unbefugten Zugriff auf lokale Datenbanken, Signaturschlüssel, LDAP-Exporte und ungewöhnliche Phishing-Aktivitäten, die vom kompromittierten Zimbra-Mailserver ausgehen, überwachen.

Simulationsausführung

• Angriffsverlauf & Befehle: Ein Angreifer hat erfolgreich eine Befehlsinjektions-Schwachstelle in einem auf Perl basierenden Überwachungsdienst identifiziert. Um einen Fußabdruck zu erstellen und mit der Aufklärung zu beginnen, injiziert der Angreifer eine Nutzlast, die den Perl-Interpreter zwingt, eine bash Shell zu starten. Dies ermöglicht es dem Angreifer, komplexe Befehle im Kontext des Dienstes auszuführen. Das Ziel ist es, einen Prozessbaum zu erzeugen, bei dem bash ein direktes Kind eines Perl Prozesses ist und dadurch die Erkennungsregel auslöst.

• Regressionstest-Skript:

  #!/bin/bash
  # Simulationsskript zur Auslösung der Zimbra Swatchdog Shell-Prozess-Erkennung
  # Dies simuliert eine Befehlsinjektion, die eine Shell aus Perl startet.
  
  echo "[*] Simulation starten: Bash von Perl aus starten..."
  
  # Verwenden Sie perl, um einen Shell-Befehl auszuführen. 
  # Dies erstellt die Prozesshierarchie: perl -> bash
  perl -e 'system("/bin/bash -c "echo SIMULATION_SUCCESSFUL"")'
  
  echo "[*] Simulation abgeschlossen. Prüfen Sie Ihr SIEM auf Alarme."

• Bereinigungsbefehle:

  # Diese Simulation erstellt keine dauerhaften Artefakte.
  # Keine Bereinigung erforderlich.