Attackers Exploit Zimbra Flaw to Deploy Web Shells and Harvest Authentication Secrets
The Hacker News · 30 sept, 18:46
Qué hacer: Actualiza Zimbra Collaboration Suite a la versión 10.1.20 o posterior; deshabilita el paquete zimbra-snmp si no es necesario.
Atacantes explotan la vulnerabilidad CVE-2026-73570 en Zimbra Collaboration Suite para desplegar shells web y robar datos de autenticación y buzones. El fallo, que afecta a servidores sin parches con el paquete opcional zimbra-snmp activado, permite inyección de comandos del sistema operativo sin autenticación a través de solicitudes SMTP especialmente elaboradas. La vulnerabilidad fue parcheada en julio de 2026 (versión 10.1.20), pero Microsoft y CERT Polska han documentado explotación activa durante ese mes con despliegue de herramientas de acceso remoto persistente.
El ataque aprovecha una falta de validación en las notificaciones SNMP de Zimbra que permite inyección de comandos OS sin necesidad de autenticación. Los atacantes desplegaron múltiples shells JSP en los directorios de aplicación Jetty y mailboxd para redundancia, establecieron shells inversos y descargaron payloads maliciosos mediante wget o curl. Utilizaron mecanismos de persistencia como servicios systemd, cron y memoria (memfd_create), limitando la visibilidad mediante modificación temporal de permisos de directorios.
Tras la explotación inicial, los actores realizaron descubrimiento de entorno usando zmprov, buscaron identidades SSH de Zimbra para movimiento lateral, y elevaron privilegios modificando "/etc/pam.d/sudo" para obtener acceso sudo sin contraseña a la cuenta de servicio zimbra. Extrajeron secretos centralizados mediante "zmlocalconfig -s" y utilizaron las credenciales recuperadas para consultas LDAP autenticadas, accediendo a claves de preaautenticación, tokens de autenticación y secretos de autenticación de dos factores. Los atacantes desplegaron el agente de acceso remoto Zimclient2 (binario Go) con soporte para WebSocket, TLS y TCP, y ejecutables específicos de Zimbra que extraen credenciales de "/opt/zimbra/conf/localconfig.xml" para exportar tablas MySQL y bases de datos LDAP completas.
Puntos clave
- CVE-2026-73570: inyección de comandos OS sin autenticación en Zimbra con paquete zimbra-snmp habilitado, CVSS 8.9
- Parcheado en julio 2026 (versión 10.1.20); añadido a CISA KEV en agosto 2026 con plazo federal de 24 de agosto
- Explotación activa documentada entre 28 julio y 7 agosto 2026; dos herramientas de escaneo distintas probaron la ruta de inyección
- Atacantes desplegaron shells JSP, Zimclient2, y extrajeron bases de datos MySQL, secretos LDAP, credenciales y copias de seguridad de buzones
- Revisar /var/log/zimbra.log para reinicios sospechosos de servicios; buscar archivos en directorios temporales y webapps
Figuras de la fuente
