Zimbra CVE-2026-73570 осалдығы платформа аутентификация кілттерін ұрлауға мүмкіндік берді

4 октября 2026 г. в 10:362 мин

Материал бірнеше дереккөз негізінде жасанды интеллектпен дайындалды — түпнұсқаларға сілтемелер төменде.

Zimbra CVE-2026-73570 осалдығын пайдаланған шабуылдаушылар бүкіл платформадағы пайдаланушы сессия токендеріне қол қоятын zimbraAuthTokenKey кілтін ұрлап, құпиясөздер ауыстырылғаннан кейін де сақталатын тұрақты тіркелгі компрометациясын қамтамасыз етті. CVSS 8,9 бағасы бар осалдық SNMP хабарландырулары арқылы аутентификациясыз ОЖ командаларын енгізуге мүмкіндік береді және 10.1.20 нұсқасына дейінгі барлық нұсқаларға әсер етеді. Microsoft 2026 жылғы 28 шілде мен 7 тамыз аралығында енгізу нүктесін тексерген сканерлеу құралдарын тіркеді, бұл 13 тамыздағы жария ашылғанға дейін болған.

Негізгі фактілер

CVE-2026-73570 CVSS 8,9 бағасына ие және Zimbra Collaboration Suite SNMP хабарландырулары жолындағы аутентификациясыз ОЖ командаларын енгізу осалдығы болып табылады.
Осалдық 2026 жылғы 20 шілдеде шығарылған 10.1.20 нұсқасына дейінгі барлық Zimbra нұсқаларына әсер етеді.
Шабуылдаушылар zimbraPreAuthKey, zimbraAuthTokenKey және zimbraTwoFactorAuthSecret кілттерін ұрлады, бұл кез келген тіркелгі үшін жарамды сессия токендерін жасауға мүмкіндік береді.
CISA осалдықты 2026 жылғы 21 тамызда белгілі пайдаланылатын осалдықтар каталогына қосып, федералды жою мерзімін 24 тамызға белгіледі.
Microsoft 2026 жылғы 28 шілде мен 7 тамыз аралығында енгізу нүктесін тексерген жоспардан тыс сканерлеу құралдарын тіркеді.

Сәйкестендіру деңгейінің компрометациясы

Ұрланған аутентификация құпиялары — zimbraPreAuthKey, zimbraAuthTokenKey және zimbraTwoFactorAuthSecret — CVE-2026-73570 пайдалануын жергілікті пошта ағып кетуінен бүкіл платформаның сәйкестендіру деректерінің тұрақты компрометациясына айналдырды. Осы кілттерді алған шабуылдаушылар кез келген тіркелгі үшін жарамды сессия токендерін және алдын ала аутентификацияланған кіру URL мекенжайларын жасай алады, бұл дәстүрлі тіркелгі деректеріне негізделген қорғанысты айналып өтіп, бүкіл Zimbra ортасына тұрақты қол жеткізуді сақтайды. CVSS 8,9 бағасы бар осалдық Zimbra Collaboration Suite SNMP хабарландырулары жолындағы аутентификациясыз ОЖ командаларын енгізу болып табылады. Ол пайдаланушының әрекеттесуін немесе алдын ала аутентификацияны қажет етпейді. Шабуылдаушы zimbra қызметтік тіркелгісі атынан қабық командаларын орындауды арнайы жасалған SMTP хатын жіберу арқылы бастай алады, егер міндетті емес zimbra-snmp пакеті орнатылып, SNMP хабарландырулары қосылған болса. Осалдық 2026 жылғы 20 шілдеде шығарылған 10.1.20 нұсқасына дейінгі барлық нұсқаларға әсер етеді.

Пайдалану хронологиясы

Пайдалану хронологиясы түзетудің қолжетімділігі мен қоғамның хабардарлығы арасындағы маңызды алшақтықты көрсетеді. Түзету 20 шілдеде шыққанымен, Microsoft 28 шілде мен 7 тамыз аралығында енгізу нүктесін тексерген жоспардан тыс сканерлеу құралдарын тіркеді. Жария ашу тек 13 тамызда болды. 17 тамызға қарай CERT Polska белсенді пайдалануды атап өтті, ал CISA осалдықты 21 тамызда белгілі пайдаланылатын осалдықтар каталогына қосып, федералды жою мерзімін 24 тамызға белгіледі.

Шабуыл тізбегі

Операция көп кезеңді болды. SNMP хабарландырулары жолы арқылы бастапқы қол жеткізуден кейін шабуылдаушылар ортаны анықтау үшін белгілі User-Agent пайдаланып барлау жүргізді. Олар Jetty және mailboxd жолдарында JSP веб-шеллдерін орналастырып, резервтік көшірме ретінде peer-түйіндерге көшірмелерін салды, кері қабықтарды орнатты және Zimbra-ның заңды sudo-рұқсат етілген көмекшілері мен PAM конфигурациясын теріс пайдаланып, root деңгейіне дейін артықшылықтарды көтерді. Тұрақтылық логирлеу компоненті ретінде жасырылған systemd қызметі арқылы қамтамасыз етілді. Содан кейін шабуылдаушылар кластер бойынша көлденең жылжу үшін Zimbra SSH идентификаторын пайдаланып, деректерді Azure Blob қоймасына эксфильтрациялауға дайындамас бұрын арнайы зиянды бағдарламаны — zimdown2 орнатушысын және zimclient2 қашықтан қол жеткізу агентін орналастырды.

Кілттер нені ашады

Ең жойқын кезең орталықтандырылған қызметтік құпияларды жүйелі түрде жинауды қамтыды. Microsoft Threat Intelligence есебінде айтылғандай: «Шабуылдаушы жеке пошта жәшіктерінің құпиясөздеріне емес, Zimbra-ның орталықтандырылған қызметтік және аутентификация құпияларына бағытталды». LDAP каталогын сұрау арқылы шабуылдаушылар кез келген тіркелгі үшін алдын ала аутентификацияланған кіру URL мекенжайларын жасауға мүмкіндік беретін zimbraPreAuthKey алды.