ハッカー、Zimbraのゼロクリック脆弱性を悪用してメールサーバーを乗っ取り

ハッカーが、Zimbra Collaboration Suiteのコマンドインジェクションの脆弱性(CVE-2026-73570)を悪用しています。この脆弱性により、攻撃者はユーザーの操作なしに、インターネットに公開されたメールサーバーを侵害できます。

EthicalHacking Course

Microsoft Threat Intelligenceは、さまざまな地域・業種の組織で、攻撃者がWebシェルを設置し、権限を昇格させ、認証情報を収集し、メールボックスのデータを一時保管している状況を確認しました。

Zimbraのゼロクリック脆弱性

この「ゼロクリック」攻撃は、オプションのzimbra-snmpパッケージがインストールされ、SNMP通知が有効になっている環境が前提です。細工されたメールを送るだけで、Zimbraのサービスアカウント権限でコマンドを実行できます。攻撃者は認証情報なしで、しかも受信者に悪意あるコンテンツを開かせることなく、最初の足がかりを得ます。

脆弱性が生じるのは、シェルのメタ文字を含む攻撃者制御のSMTP入力が、ZimbraのSNMP通知処理に渡される場合です。サービス状態の監視中に、swatchdogユーティリティがこの悪意ある入力をsnmptrapのシェル呼び出しに組み込み、埋め込まれたOSコマンドが実行されてしまいます。

Zimbraは、8月13日の公開に先立つ2026年7月20日に、この問題の修正をバージョン10.1.20でリリースしました。Microsoftは、7月28日から8月7日にかけて、このインジェクションの経路に対する探索活動を確認しています。パッチの提供後、公開前の時期に、この脆弱性を悪用しようとする試みがあったことを示しています。

攻撃者は、インタラクションサービスへのHTTP、DNS、ICMPのコールバックによって、コード実行を検証していました。一部のHTTPプローブには特徴的なUser-Agent「ZB73570」が含まれており、ランダム化したコールバック用サブドメインによって悪用の成功を確認していました。

StudySecurity

悪用に成功した攻撃者は、エンコードされたペイロードを復元し、JettyおよびmailboxdのディレクトリにJSP Webシェルを設置しました。Webルートの権限を一時的に変更し、その後に元へ戻すことで、基本的な権限チェックで痕跡が残らないようにしていました。ほかにも、スクリプトのダウンロード、リバースシェルの確立、メモリを使ったコマンド実行といった手口が確認されています。

Microsoftは、正規のZimbraサービスヘルパー、書き込み可能なmailbox-managerのログディレクトリ、sudoのPAM設定を悪用した権限昇格の事例を報告しています。

攻撃者はファイルの所有者を操作し、pam_execフックを悪用して、パスワード不要で無制限のsudo権限を獲得しました。その後、設定内容を元に戻しつつ、昇格した権限は維持していました。

永続化には、zimlog.serviceの作成が使われました。これはZimbraのアプリケーションディレクトリの外に設置された、偽装systemdユニットです。

攻撃者はタイムスタンプを書き換えて既存サービスに見せかけ、起動時に実行されるようにしていました。さらに、ZimbraのSSH IDとrsyncを再利用し、信頼されたクラスタノード間でツールやWebシェルを拡散させていました。

別のペイロードチェーンでは、Go言語製のインストーラー「zimdown2」と、リモートアクセスエージェント「zimclient2」が展開されました。このエージェントは、対話型シェル、ファイル転送、SOCKS5プロキシに対応し、WebSocket、TLS、生のTCPなど複数の通信方式を使えます。

攻撃者は、一元管理されたサービスの認証情報とLDAP属性を狙っていました。対象にはzimbraPreAuthKey、zimbraAuthTokenKey、zimbraTwoFactorAuthSecretが含まれます。

Zimbra専用のGo言語製インプラントは、データベースの内容を書き出し、証明書、秘密鍵、設定ファイルも一時保管していました。トークン署名用の情報が盗まれると、個々のパスワードがなくてもアカウントのなりすましが可能になるおそれがあります。

あるサーバーでは、攻撃者がメールボックスのバックアップをアーカイブし、AzCopyでAzure Blobの宛先へ転送しようとしました。Microsoftは、データの収集と窃取の試みを確認しましたが、転送は失敗に終わりました。

StoreBig Data

管理者には、Zimbraをバージョン10.1.20以降へアップグレードすることが推奨されています。すぐにパッチを適用できない場合、Microsoftはzimbra-snmpパッケージの削除とSNMP通知の無効化を勧めています。

防御側は、リバースシェルのアラートを調査し、すべてのメールボックスノードで不審なJSP Webシェルがないか確認する必要があります。あわせて、想定外のsystemdサービスやsudoの変更を点検し、Zimbraの認証シークレットをローテーションしてください。Microsoftは、この攻撃チェーンには複数の侵害が含まれ、個々のホストに記載されたすべての段階が現れるとは限らないと注意を促しています。

侵害指標(IoC)

ネットワーク指標

ファイルハッシュ(SHA-256)

注: IPアドレスとドメインは、誤って名前解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無害化(defang)されています(例: [.])。元の形式に戻す際は、MISP、VirusTotal、自社のSIEMなど、管理された脅威インテリジェンスプラットフォーム内に限ってください。

サイバー脅威を被害が出る前に阻止し、MTTRを21分短縮。ANYRUNのサンドボックスをSOCに統合しましょう。