ハッカーが、Zimbra Collaboration Suiteの脆弱性CVE-2026-73570(認証不要のOSコマンドインジェクション)を悪用し、インターネットに公開されたメールサーバーへの侵入、メールへのアクセス、認証情報の収集を進めています。
Microsoft Threat Intelligenceは、複数の業種と地域に及ぶ攻撃を確認しました。攻撃ではWebシェルの設置、権限昇格、永続的なリモートアクセスの確保が行われ、メールボックスのデータを持ち出そうとする動きもありました。
この脆弱性の影響を受けるのは、オプションのzimbra-snmpパッケージをインストールし、SNMP通知を有効にしているZimbra環境です。
攻撃者は、細工したSMTPリクエストを送るだけで脆弱性を突くことができます。認証情報もユーザー操作も必要ありません。コマンドは当初、Zimbraのサービスアカウントの権限で実行され、アプリケーションの機密リソースにアクセスできる状態になります。
Zimbraは、2026年7月20日にリリースしたバージョン10.1.20でこの脆弱性を修正しており、8月13日の一般公開より前に対処していました。Microsoftは、7月28日から8月7日にかけて、2種類のスキャンツールが脆弱な注入ポイントを探っているのを確認しました。修正から公開までの間にも攻撃者が動いていたことになります。
これらの探索では、HTTP、DNS、ICMPのコールバックを使ってコマンドが実行できるかを確認していました。攻撃者はcurl、wget、ping、nslookupといった標準ユーティリティを使い、一部のHTTPリクエストには特徴的なUser-Agent「ZB73570」が含まれていました。
この確認によって、攻撃者はペイロードを送り込む前に、サーバーがコマンドを実行でき、外部のインフラと通信できるかを見極めていました。攻撃は、悪意あるSMTP入力がSNMP通知の処理に到達した時点から始まります。
Swatchdogはサービス状態の監視中に、攻撃者が制御できる内容をsnmptrapのシェル呼び出しに組み込んでしまいます。そこに埋め込まれたシェルのメタ文字によって、通知データがZimbraアカウント権限で実行可能なコマンドに変わります。
攻撃者はこのアクセスを使い、エンコードおよび圧縮されたペイロードを復元して、JettyとmailboxdのディレクトリにJSP Webシェルを設置しました。Webルートの権限を一時的に変更し、設置後に元へ戻して、痕跡を目立たなくした例もあります。
このほか、リバースシェルの起動、バックグラウンド実行、memfd_createを使ったメモリ上でのペイロード実行も確認されています。
Microsoftはさらに、正規のZimbraサービス用ヘルパー、書き込み可能なmailbox-managerのログパス、sudoのPAM設定を悪用した権限昇格も確認しました。
攻撃者はファイルの所有権を操作してpam_execフックを仕込み、パスワード不要で無制限のsudo権限を手に入れました。その後、PAMの内容は元に戻す一方で、不正なsudoersエントリは残していました。
永続化には、タイムスタンプを改ざんしたzimlog.serviceという偽装のsystemdユニットが使われました。攻撃者はZimbraが持つ既存のSSH識別情報を再利用して信頼されたクラスタノードに到達し、rsyncでWebシェルや関連ファイルを転送しています。
認証情報の収集では、一元管理されたサービスのシークレットやLDAP属性が狙われました。対象にはzimbraPreAuthKey、zimbraAuthTokenKey、zimbraTwoFactorAuthSecretが含まれます。
Zimbra専用に作られたGo製インプラントは、設定ファイル内の認証情報を抽出し、データベースの内容をエクスポートしたうえで、証明書、秘密鍵、認証関連データを転送用にまとめていました。
あるサーバーでは、攻撃者がメールボックスのバックアップを/opt/zimbra/final.tar.gzとして圧縮し、AzCopyでAzure Blobの宛先に送ろうとしていました。Microsoftはデータの収集と持ち出しの試みを確認しましたが、入手できた証拠では、転送が完了したかどうかまでは確認できていません。
管理者はZimbra 10.1.20以降へのアップグレードが必要です。すぐにパッチを適用できない場合、Microsoftはzimbra-snmpの削除とSNMP通知の無効化を推奨しています。
調査では、すべてのメールボックスノードを対象にし、認証用シークレットをローテーションしてください。想定外のJSPファイルやsystemdユニットも確認が必要です。マルウェア検知だけに頼らず、リバースシェルのアラートを優先的に調べることも重要です。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。自社チームでの活用を検討する
翻訳元: https://cyberpress.org/hackers-exploit-zimbra-mail-server-flaw/
