Zimbra Collaboration Suiteに存在するコマンドインジェクションの重大な欠陥が実際に悪用されており、管理者には早急なパッチ適用と侵害の有無の確認が求められています。
CERT Polskaは8月17日にアラート145/2026を発行し、CVE-2026-73570により認証を経ていないリモートの攻撃者がzimbraユーザー権限で任意のOSコマンドを実行できると警告しました。
CVE-2026-73570として追跡されているこの問題は、ZimbraのSNMP監視パスに存在するOSコマンドインジェクションの脆弱性です。snmp_notifyパラメータ経由でSNMPトラップ通知が有効化されており、なおかつswatchdogサービスが稼働している環境が影響を受けます。
swatchdogはデフォルトで有効になっているため、オプション機能であるzimbra-snmpをインストール・有効化している組織は、設定の見直しが特に重要になります。
攻撃者はサーバーへの事前認証なしに、特別に細工したSMTPリクエストを送りつけることで、zimbraアカウント権限による任意のコマンド実行を引き起こせます。この脆弱性はCWE-78(OSコマンドで使用される特殊要素の不適切な無害化)に分類されています。
実行できるコマンドはzimbraユーザー権限に限られるものの、影響は依然として深刻になり得ます。このアカウントは通常、メール関連データ、アプリケーションディレクトリ、設定情報、サービスプロセスにアクセスできるためです。
侵害が成功すれば、メールボックスの窃取、Webシェルの設置、認証情報の窃取、横展開の足がかり構築、Zimbra環境内での永続化などにつながる恐れがあります。防御側は不審な挙動をサーバー侵害の可能性として扱うべきです。
Zimbraはバージョン10.1.20でこの欠陥に対処しました。Zimbraのセキュリティアドバイザリでも、SNMP通知が有効な場合にSNMP監視コンポーネントにコマンドインジェクションの問題があると認めています。
管理者は直ちに導入済みのバージョンを確認し、snmp_notifyを使用しているシステムを特定した上で、影響を受けるインスタンスをバージョン10.1.20以降の修正版にアップグレードする必要があります。
/var/log/zimbra.logを確認し、想定外のペイロードによってサービスの状態が「stopped」から「running」へ、あるいは「running」から「stopped」へと変化しているイベントがないか調べてください。こうした記録は、攻撃者が脆弱なサービス管理フローを通じてコマンドを実行した痕跡である可能性があります。
担当チームは、過去30日間にzimbraユーザーによって作成されたファイルを調査すべきであり、特に以下のディレクトリを優先的に確認してください。
調査担当者は、見覚えのないJSPファイル、スクリプト、バイナリ、アーカイブ、cron関連の痕跡、改ざんされたアプリケーションコンテンツがないか確認する必要があります。
CERT Polskaによると、Jetty Webアプリケーションのパス内に見慣れないファイルが存在する場合は、Webシェルや攻撃者による永続化の仕組みが仕込まれている可能性があるため、直ちに対応する必要があるとしています。
即時の封じ込め対応としては、侵害が疑われるホストの隔離、ログおよび揮発性証拠の保全、サーバーがアクセス可能な認証情報のローテーション、接続されたメールインフラ全体を対象とした影響範囲の評価が挙げられます。
露出しているSNMP通知設定を無効化することでリスクを低減できる可能性はありますが、これはベンダー提供の修正パッチの適用に代わるものではありません。
セキュリティチームに不審な活動をより迅速に調査し、被害が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/critical-zimbra-os-command-injection-vulnerability/
