Zimbra CVE-2026-73570: nicht authentifizierter Betrieb über SMTP mit zimbra-snmp zeigt Web Shells und Daten an

In den letzten Wochen wurde eine Kampagne registriert, die einen Sicherheitsversagen in Zimbra Collaboration Suite nutzte, um Code ohne Authentifizierung auszuführen, Web Shells zu installieren und in mehreren Fällen Daten von Postsendungen zu extrahieren. Die als CVE-2026-73570 (CVSS 8.9) identifizierte Schwachstelle betrifft Einrichtungen mit dem optionalen zimbra-snmp-Paket und die aktivierten SNMP-Benachrichtigungen; gemäß der öffentlichen Analyse wird die Operation durch eine speziell gebaute SMTP-Anfrage durchgeführt, ohne dass Anmeldeinformationen oder Benutzerinteraktion erforderlich sind. Zimbra veröffentlichte einen Patch im Juli 2026 (Version 10.1.20) und Sicherheitsorganisationen - einschließlich Microsoft und CERT Polska - dokumentierte aktive Aktivität vor und nach der Korrektur.

Technisch gesehen ist das, was in den Analysen berichtet wird, ein OS-Befehlsinjektion nicht authentifiziert auf dem Pfad, der SNMP-Benachrichtigungen erhält oder verarbeitet, die mit dem Zimbra-Service verbunden sind. Ein Angreifer, der Mail an den gefährdeten Server senden kann, kann zur Ausführung von Befehlen mit den Privilegien des Zimbra-Service-Accounts führen, die JSP-Web-Shells über Jetty / Mailbox, Download-Binaries durch wget / curl, offene Reverse Shells und etabliert Mechanismen der Beharrlichkeit (cron, systemd, memfd _ create, shkeys, Shell Boot Files, etc.) bereitstellen. Microsoft beschreibt eine komplette Angriffskette, die die Entdeckung der Umgebung (zmprov), die Eskalation der Privilegien durch Änderung von PAM / Sudo-Konfigurationen, die Wiederherstellung von Geheimnissen durch zmlocalconfig, die laterale Bewegung nutzt Zimbras SSH Identität und Exfiltration durch Werkzeuge wie AzCopy zu Cloud-Speicher.

Fakten bestätigt: CVE-2026-73570 existiert und wurde in Zimbra 10.1.20 korrigiert; die Operation kann über SMTP ohne Authentifizierung aktiviert werden, wenn zimbra-snmp und SNMP-Benachrichtigungen aktiv sind; Akteure eingesetzt JSP Web Shells, Reverse Shells und Remote Access Tools (z.B. Zimclient2) und gesammelte Anmeldeinformationen und Mailbox-Daten in mehreren Umgebungen nach Microsoft-Telemetrie. CERT Polska und CISA gaben öffentliche Warnungen aus und die CISA brachten ihr Known Exploited Vulnerabilities-Katalog mit Minderungsfristen für Bundesbehörden hinzu.

Geschätzte oder noch unsichere Informationen: Die Zuschreibung der Intrusionen wird nicht öffentlich bestätigt; noch ist die Gesamtverlängerung des Erfolgs der Exfiltrationen bei allen Vorfällen (in mindestens einem Fall wurde ein Versuch, mit AzCopy nach Azure Blob zu übertragen, aber die Fertigstellung der Kopie wurde nicht bestätigt). Darüber hinaus, obwohl Microsoft bestimmte Techniken beobachtet (Modifikation von / etc / pam.d / sudo, Erstellung von zimlog. Service, Verwendung von rsync zwischen Knoten, etc.), nicht alle betroffenen Hosts präsentiert jeden Schritt des Angriffsflusses.

Wer ist es? Jede Organisation, die Zimbra dem SMTP-Verkehr ausgesetzt hat und mit dem installierten zimbra-snmp-Paket und den aktivierten SNMP-Benachrichtigungen kann beeinträchtigt werden. Insbesondere sind Bereitstellungen mit Internet-accessible Mailbox / MTA-Knoten und Cluster-Konfigurationen mit gemeinsamer SSH-Identität für laterale Exploration und Diebstahl von Servicegeheimen empfindlicher.

Tatsächliche Folgen, die beobachtet wurden: Installation von hartnäckigen Back-Türen, Klettern von Zimbra Service Privilegien, Diebstahl von Geheimnissen (Token, Preauthentication Schlüssel, 2FA Geheimnisse), Entfernen von Zimbra Datenbank Tabellen und Archivierung von Mailbox Inhalt. Aus betrieblicher Sicht kann dies den Verlust der Corporate Mail-Geheimhaltung, das Engagement von Dienstidentitäten und die Wiederverwendung von Anmeldeinformationen bedeuten, um andere Systeme innerhalb derselben vertrauenswürdigen Umgebung zu verschwenken.

Spezifische und unmittelbare Maßnahmen eines Zimbra-Administrators:

(1) Grundstück oder Mitigate: anwenden Zimbra 10.1.20 oder die Version, die den Patch so schnell wie möglich enthält. Wenn Sie nicht sofort parken können, Deinstallieren Sie zimbra-snmp oder deaktivieren Sie SNMP-Benachrichtigungen und blockieren SNMP-Zugriff (Ports 161 / 162) und SMTP (25) aus unzuverlässigen Quellen durch Zugriffskontrolllisten oder Firewalls. Weitere Informationen zu Ankündigungen und Updates auf der Zimbra Sicherheitsseite: https: / / www.zimbra.com / Sicherheit /.

2) Indikatoren und Ausdauer überprüfen: Prüfen Sie die Datensätze und das System für die von den Forschern beobachteten Signale. Suchen Sie nach ungewöhnlichem Neustart des Dienstes in / var / log / zimbra.log, JSP Web Shells auf Webapps und / tmp Routen, vor kurzem erstellte Dateien mit temporär veränderten öffentlichen Genehmigungen, verdächtige systemd Dienste (z.B. zimlog.service), unerwartete cron Eingänge, SSH Schlüssel in / opt / zimbra / .ssh / autorisierte _ Schlüssel und / etc / pam.d / sudo Modifikationen. Nützliche Befehle (Beispiele):

grep -i'zimbra '/ var / log / zimbra.log
finden / opt / zimbra -type f -iname '* .jsp' -mtime -30
stat / etc / pam.d / sudo

3) Rotation von Geheimnissen und Eindämmung: nehmen Sie die Verpflichtung der Servicetasten und drehen Sie die Hauptgeheimnisse von Zimbra (zimbraPreAuthKey, zimbraAuthTokenKey, zimbraTwoFactorAuthSecret), ändern Passwörter von Servicekonten, ungültige Token und betrachten die Rotation von Zertifikaten, wenn es Anzeichen von Exfiltration. Revozieren und regenerieren von Service-Berechtigungen und Einschränkung der SSH-Identität von / opt / zimbra / .ssh / zimbra _ Identität sind kritische Schritte. Jeder Server mit Verlobungszeichen sollte aus dem Netzwerk isoliert und für die forensische Analyse erhalten werden.

4) Suche nach Exfiltrations- und Dateiübertragungsgeräten: Überwachen Sie ausgehende Verbindungen mit Werkzeugen wie AzCopy oder ungewöhnlichen Mustern zu Cloud-Speicherdiensten. Überprüfen Sie die Anwesenheit von lokal archivierten Dateien (z.B. Final.tar.gz in der Telemetrie erwähnt) und Anrufe an Netzwerkprogramme, die Daten übertragen hätten. Wenn Sie Versuche erkennen, auf Azure Blob Storage zu klettern, Protokolle zu überprüfen und Alarme für SAS URL und Verkehr zu blockieren Domänen. CISA unterhält einen Katalog ausgenutzter Schwachstellen, die helfen können, Aktionen zu priorisieren: https: / / www.cisa.gov / Wissens-exploited-vulnerabilities-catalog.

(5) Empfohlene Erholung: wenn Sie das Engagement bestätigen, Plan Rekonstruktion von sauberen Backups nach vollständiger forensischer Beseitigung. Vertrauen Sie nicht einfach, die gefundenen Binäre zu reinigen; die Akteure haben mehrere Mechanismen der Persistenz und der lateralen Bewegung gezeigt, die eine Reimagination oder kontrollierte Wiederherstellung erfordern. Unterlagen und Nachweise für die Untersuchung.

Schließlich, obwohl diese Kampagne von mehreren Antwortteams detailliert dokumentiert wurde, die Sichtbarkeit ist teilweise und es können Varianten oder Schauspieler sein, die den gleichen Fehler beheben. Bewahren Sie Erkennungskontrollen für anormale Befehlsmuster in Zimbra-Prozessen, begrenzen Sie unnötige Expositionen von administrativen Diensten und aktualisieren Sie Überwachungsrichtlinien, um Änderungen in PAM / sudo, systemd Dienste und Übertragung von großen Mengen von Post oder Datenbank zu erkennen. Für zusätzliche Kontext- und Sicherheitshinweise folgen offizielle Quellen wie Microsofts Sicherheitsblog: https: / / www.microsoft.com / sicherheit / blog / und lokale CERT-Ausrüstung für bestimmte Indikatoren.