CVE-2026-73570：Zimbra 日志文件滥用导致远程代码执行

摘要

CVE-2026-73570 是一个影响 Zimbra 邮件协作软件的未经身份验证的命令注入漏洞。攻击者可以通过发送精心构造的 SMTP RCPT TO 请求触发该漏洞，该请求在 /var/log/zimbra.log中生成特定条目。Swatchdog 守护程序稍后通过一个存在漏洞的 Perl 脚本解析此条目，允许以 zimbra 用户权限执行任意远程代码。

调查

研究人员通过发送格式错误的 SMTP 消息并分析生成的日志条目，重现了完整的漏洞利用链。他们发现，许多公开的 PoC 失败是因为它们没有生成 Swatchdog 守护程序所需的精确 服务状态变更 模式。调查确认通过 Perl 脚本负责 SNMP 通知处理的反引号可以实现命令注入。

缓解措施

主要的缓解措施是将 Zimbra 升级到 10.1.20 或更高版本。组织还应通过 Elastic Defend 等安全工具部署监控，以识别来自 Swatchdog Perl 进程的异常 shell 执行。

响应

当怀疑存在漏洞利用时，调查人员应寻找常见的 RCE 指标，包括可疑的 shell or bash 由 Perl 生成的子进程。防御者还应监控对本地数据库、签名密钥、LDAP 导出和源自受感染的 Zimbra 邮件服务器非正常钓鱼活动的未经授权访问。

模拟执行

• 攻击叙述与命令： 攻击者已成功识别出一个基于 Perl 的监控工具中的命令注入漏洞。为了建立立足点并开始侦察，攻击者注入一个负载，迫使 Perl 解释器生成一个 bash shell。这允许攻击者通过服务上下文执行复杂命令。目标是生成一个进程树，其中 bash 是 perl 进程的直接子进程，从而触发检测规则。

• 回归测试脚本：

  #!/bin/bash
  # 模拟脚本以触发 Zimbra Swatchdog Shell 进程检测
  # 这模拟了一个从 Perl 生成 shell 的命令注入。
  
  echo "[*] 启动模拟：从 perl 生成 bash..."
  
  # 使用 perl 执行 shell 命令。
  # 这创建了进程层次结构：perl -> bash
  perl -e 'system("/bin/bash -c "echo SIMULATION_SUCCESSFUL"")'
  
  echo "[*] 模拟完成。检查您的 SIEM 是否有警报。"

• 清理命令：

  # 此模拟未创建持久性工件。
  # 无需清理。