CVE-2026-73570: Nadużycie Pliku Dziennika Zimbra Umożliwia Zdalne Wykonanie Kod

Podsumowanie

CVE-2026-73570 to podatność na nieautoryzowane wstrzyknięcie poleceń dotycząca oprogramowania Zimbra do współpracy emailowej. Atakujący może wykorzystać lukę, wysyłając spreparowane SMTP RCPT TO żądanie, które generuje określony wpis w /var/log/zimbra.log. Demon Swatchdog następnie analizuje ten wpis za pomocą wrażliwego skryptu Perl, co pozwala na zdalne wykonanie dowolnego kodu z uprawnieniami użytkownika zimbra .

Śledztwo

Badacze odtworzyli cały łańcuch ataku, wysyłając błędnie sformułowane wiadomości SMTP i analizując powstałe wpisy w logach. Odkryli, że wiele publicznych PoC nie działa, ponieważ nie generują dokładnego Wzorzec zmiany statusu usługi wymaganego przez demona Swatchdog. Śledztwo potwierdziło, że wstrzyknięcie poleceń jest możliwe poprzez tylne apostrofy przetwarzane przez skrypt Perl odpowiedzialny za powiadomienia SNMP.

Zarządzanie

Główne zarządzanie polega na aktualizacji Zimbra do wersji 10.1.20 lub nowszej. Organizacje powinny również wdrożyć monitorowanie za pomocą narzędzi zabezpieczających, takich jak Elastic Defend, aby identyfikować anomalne wykonania powłoki pochodzące z procesu Swatchdog Perl.

Reakcja

Gdy podejrzewane jest wykorzystanie, badacze powinni wyszukiwać pospolite wskaźniki RCE, w tym podejrzane powłoki or bash procesy potomne inicjowane przez Perl. Obrońcy powinni również monitorować nieautoryzowany dostęp do lokalnych baz danych, kluczy podpisujących, eksportów LDAP i nietypowej aktywności phishingowej pochodzącej z zainfekowanego serwera poczty Zimbra.

Wykonanie Symulacji

• Narracja Ataku i Polecenia: Atakujący pomyślnie zidentyfikował podatność na wstrzyknięcie poleceń w opartej na Perl pomocniczej funkcji monitorującej. Aby stworzyć swoją obecność i rozpocząć rozpoznanie, atakujący wstrzykuje ładunek wymuszający na interpreterze Perl uruchomienie bash powłoki. To pozwala atakującemu wykonywać złożone polecenia przez kontekst usługi. Celem jest stworzenie drzewa procesów, gdzie bash jest bezpośrednim procesem potomnym perla , wywołując tym samym regułę detekcji.

• Skrypt Testu Regresji:

  #!/bin/bash
  # Skrypt symulacyjny do wyzwalania procesu powłoki Swatchdog w Zimbra
  # Symuluje to wstrzyknięcie poleceń uruchamiające powłokę z Perla.
  
  echo "[*] Rozpoczęcie Symulacji: Uruchamianie bash z Perla..."
  
  # Użyj perla do wykonania polecenia powłoki. 
  # To tworzy hierarchię procesów: perl -> bash
  perl -e 'system("/bin/bash -c "echo SIMULATION_SUCCESSFUL"")'
  
  echo "[*] Symulacja zakończona. Sprawdź swoje SIEM dla alertów."

• Komendy do Czyszczenia:

  # Symulacja nie tworzy żadnych trwałych artefaktów.
  # Czyszczenie nie jest wymagane.