CVE-2026-73570: Abuso de Archivos de Registro de Zimbra Permite Ejecución Remota de Código

Resumen

CVE-2026-73570 es una vulnerabilidad de inyección de comandos no autenticada que afecta el software de colaboración de correo electrónico Zimbra. Un atacante puede explotar la falla enviando un SMTP manipulado RCPT TO solicitud que genera una entrada específica en /var/log/zimbra.log. El demonio Swatchdog luego analiza esta entrada a través de un script Perl vulnerable, lo que permite la ejecución remota de código arbitrario con los privilegios del usuario zimbra. usuario.

Investigación

Los investigadores reprodujeron la cadena completa de explotación enviando mensajes SMTP malformados y analizando las entradas de registro resultantes. Descubrieron que muchos PoCs públicos fallan porque no generan el Cambio en el estado del servicio patrón exacto requerido por el demonio Swatchdog. La investigación confirmó que es posible la inyección de comandos a través de las comillas invertidas procesadas por el script Perl responsable de las notificaciones SNMP.

Mitigación

La mitigación principal es actualizar Zimbra a la versión 10.1.20 o posterior. Las organizaciones también deben implementar monitoreo a través de herramientas de seguridad como Elastic Defend para identificar ejecuciones de shell anómalas que se originen del proceso Perl de Swatchdog.

Respuesta

Cuando se sospeche de una explotación, los investigadores deben buscar indicadores comunes de RCE, incluidos los shell or bash procesos secundarios generados por Perl. Los defensores también deben monitorear el acceso no autorizado a bases de datos locales, claves de firma, exportaciones LDAP y actividades de phishing inusuales provenientes del servidor de correo Zimbra comprometido.

Ejecución de simulación

• Narrativa y comandos de ataque: Un atacante ha identificado con éxito una vulnerabilidad de inyección de comandos en una utilidad de monitoreo basada en Perl. Para establecer una presencia y comenzar el reconocimiento, el atacante inyecta una carga útil que obliga al intérprete de Perl a generar un bash shell. Esto permite al atacante ejecutar comandos complejos a través del contexto del servicio. El objetivo es producir un árbol de procesos donde bash sea un hijo directo de un proceso perl, activando así la regla de detección. proceso perl, activando así la regla de detección.

• Script de prueba de regresión:

  #!/bin/bash
  # Script de simulación para activar la detección de procesos shell de Zimbra Swatchdog
  # Esto simula una inyección de comandos que genera un shell desde Perl.
  
  echo "[*] Iniciando simulación: Generando bash desde perl..."
  
  # Usa perl para ejecutar un comando shell.
  # Esto crea la jerarquía de procesos: perl -> bash
  perl -e 'system("/bin/bash -c "echo SIMULATION_SUCCESSFUL"")'
  
  echo "[*] Simulación completa. Revisa tu SIEM para alertas."

• Comandos de limpieza:

  # Esta simulación no crea artefactos persistentes.
  # No se requiere limpieza.