Kritikus Zimbra-hibával lopnak levelezéseket és hitelesítési adatokat

A Microsoft által ismertetett támadásokban a Zimbra Collaboration Suite kritikus sérülékenységét használták ki levelezések és hitelesítési adatok megszerzésére. A CVE-2026-73570 jelű hiba lehetővé teszi, hogy egy támadó hitelesítés nélkül operációs rendszerparancsokat futtasson a sérülékeny szerveren. Ehhez egy speciálisan kialakított e-mailt kell küldenie, amely a Zimbra SNMP-értesítési folyamatába juttat nem megbízható adatot. A kockázat akkor áll fenn, ha az opcionális zimbra-snmp csomag telepítve van, és az SNMP-értesítések engedélyezettek.

A Zimbra karbantartója, a Synacor július 20-án adott ki javítást, de a sérülékenységet több mint három hétig nem hozta nyilvánosságra. A Shadowserver Foundation vizsgálatai szerint eddig 274 különálló Zimbra-példányt törtek fel. A javítás utáni héten még mintegy 19 ezer, később körülbelül 12 ezer, jelenleg pedig nagyjából 10 ezer, internet felől elérhető példányt követnek.

A Microsoft július 28. és augusztus 7. között két különböző szkennelőeszközt figyelt meg. A támadók először HTTP-kérésekkel, valamint DNS-, ICMP- és külső szolgáltatásokon végzett ellenőrzésekkel tesztelték a parancsfuttatást, később pedig webshell-eket és visszakapcsolódó shell-eket telepítettek. Jogosultságot emeltek, tartós távoli hozzáférést alakítottak ki, e-mail-archívumokat készítettek, és hitelesítési, illetve postafiókadatokat gyűjtöttek. A rendszergazdáknak legalább a 10.1.20-as ZCS-verzióra kell frissíteniük.