Zimbra: уязвимость CVE-2026-73570 позволяет выполнить код через лог-файл

Zimbra получает уязвимость CVE-2026-73570 для выполнения кода

Elastic Security Labs обнаружила уязвимость CVE-2026-73570 в Zimbra. Она позволяет удалённо выполнить код через лог-файл. Уязвимость затрагивает неаутентифицированных пользователей. Атакующий может отправить специально сформированное сообщение SMTP. Оно записывается в файл /var/log/zimbra.log. Демон мониторинга Swatchdog сопоставляет запись с шаблоном состояния службы. Затем передаёт её в /bin/sh внутри строки Perl. Это приводит к удалённому выполнению кода от имени пользователя zimbra. Компрометация почтового сервера позволяет отправлять письма от имени любых локальных учётных записей. Это создаёт основу для дальнейших атак.

Zimbra предоставляет платформу для совместной работы и электронной почты

Zimbra — это широко используемая корпоративная платформа для совместной работы и электронной почты. Она известна своим SMTP-сервисом. SMTP играет критическую роль в инфраструктуре многих организаций. Он предоставляет услуги электронной почты, которые часто включают управление идентификацией. Компрометация почтового сервера позволяет выдавать себя за легитимные учётные записи. Это открывает доступ к дополнительным целям.

Версия 10.1.20 устраняет CVE-2026-73570

Уязвимость CVE-2026-73570 является инъекцией команд без аутентификации. Для её эксплуатации достаточно одного некорректно сформированного адреса получателя. Уязвимость исправлена в Zimbra версии 10.1.20 и выше. Если вы используете более раннюю версию, необходимо обновиться. Некоторые публичные Proof of Concept (PoC) не работают корректно. Они записывают в лог команды в неверном формате, что препятствует их выполнению. Рабочая цепочка атаки включает отправку сообщения с некорректным адресом получателя. Это приводит к записи в лог /var/log/zimbra.log. Демон Swatchdog обрабатывает эту запись. Он использует Perl для парсинга сообщений. Уязвимость заключается в том, как конструируется сообщение SNMP-уведомления. Атакующий может внедрить произвольные команды в поле имени службы. Это достигается путём отправки SMTP-сообщения с адресом получателя, у которого отсутствует закрывающая угловая скобка. Например, address@host.namewill. Такая запись попадает в лог. Затем Swatchdog выполняет внедрённые команды через /bin/sh.

Обновитесь до 10.1.20 или установите правило безопасности

Zimbra выпустила исправление для уязвимости CVE-2026-73570. Для устранения и обнаружения уязвимости выполните следующие шаги. Обновите Zimbra до версии 10.1.20 или новее. Это единственное полное исправление. Установите Elastic Defend, если он ещё не установлен. Включите правило безопасности Zimbra Swatchdog SNMP Command Injection Execution в системе SIEM. Это правило обнаружит эксплуатацию уязвимости и поможет провести ретроспективный поиск попыток взлома до установки патча. Правило обнаруживает последовательность процессов, нарушающую нормальный шаблон Zimbra. Сначала запускается процесс оболочки (/bin/sh), порождённый процессом Perl watchdog script. В аргументах командной строки этого процесса присутствует snmptrap. Это соответствует ожидаемому вызову /opt/zimbra/common/bin/snmptrap .... Затем правило обнаруживает подпроцесс, запущенный этой оболочкой, при условии, что этот подпроцесс не является snmptrap. Поскольку snmptrap — единственный процесс, который должен запускаться при легитимных обстоятельствах, это является сильным индикатором успешной эксплуатации. В случае обнаружения компрометации ищите стандартные индикаторы удалённого выполнения кода на хосте. Также отслеживайте фишинговые письма, исходящие с сервера, компрометацию локальных баз данных и ключей подписи, а также экспорт LDAP. Ищите менее очевидные векторы атаки, помимо хранилища почты.