CISA-Anweisung und Details zur Schwachstelle
Die Cybersecurity and Infrastructure Security Agency (CISA) hat US-Bundesbehörden (Federal Civilian Executive Branch) offiziell angewiesen, ihre Systeme gegen eine aktiv ausgenutzte Sicherheitslücke in der Zimbra Collaboration Suite (ZCS) abzusichern. Die unter der Kennung CVE-2026-73570 geführte Sicherheitslücke wurde vom Zimbra-Sicherheitsteam in der am 20. Juli veröffentlichten Version 10.1.20 behoben. Das Problem hat seinen Ursprung in der SNMP-Überwachungskomponente der Collaboration-Software.
Die erfolgreiche Ausnutzung dieser Schwachstelle ermöglicht es unauthentifizierten Angreifern, eine Remotecodeausführung auf den Zielsystemen herbeizuführen. Die Schwachstelle entsteht insbesondere dann, wenn SNMP-Benachrichtigungen auf dem Zielsystem aktiviert sind, und zwar aufgrund einer unzureichenden Bereinigung von nicht vertrauenswürdigen Eingaben bei der Verarbeitung von SNMP-Benachrichtigungen. Durch das Senden speziell präparierter SMTP-Anfragen (Simple Mail Transfer Protocol) kann ein unauthentifizierter Angreifer die Ausführung beliebiger Betriebssystembefehle als Zimbra-Benutzer veranlassen.
Das Zimbra-Sicherheitsteam hatte zuvor am 20. Juli in Version 10.1.20 ein Software-Update veröffentlicht, das diese Sicherheitslücke behebt. Spätere Beobachtungen aus der Praxis bestätigten jedoch, dass die Schwachstelle von böswilligen Akteuren in laufenden Kampagnen aktiv ins Visier genommen wird.
Entdeckung und Ausnutzung in der Praxis
Die Warnung der CISA erfolgt, nachdem CERT Polska, das polnische Computer Emergency Response Team, die Schwachstelle am vergangenen Montag erstmals als in freier Wildbahn ausgenutzt gemeldet hatte. Am Freitag bestätigte die CISA die Warnung von CERT Polska, nahm die Schwachstelle in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) auf und wies US-Bundesbehörden an, ihre Systeme innerhalb von drei Tagen bis zum 24. August abzusichern.
Unabhängige Sicherheitsorganisationen und Bedrohungsüberwachungen haben die weite Verbreitung und die potenzielle Kompromittierung von Servern, auf denen die Software läuft, überwacht. Während die Bedrohungsüberwachung Shadowserver mehr als 12.000 im Internet exponierte Zimbra-Server verfolgt, liegen keine Informationen darüber vor, wie viele davon Honeypots sind oder bereits gegen Angriffe abgesichert wurden, die die Schwachstelle CVE-2026-73570 ausnutzen.
Am Montag erklärte Shadowserver zudem, man habe bei der Suche nach Artefakten der CVE-2026-73570-Ausnutzung über 270 kompromittierte Instanzen der Zimbra Collaboration Suite gefunden. Obwohl die CISA keine Informationen zu diesen laufenden Angriffen mitteilte, forderte das polnische CERT-Team Sicherheitsteams auf, Protokolle auf verdächtige Aktivitäten zu überprüfen – etwa ob der Zimbra-Dienst unerwartet neu gestartet wurde –, sowie nach Dateien zu suchen, die an bestimmten Orten erstellt wurden.
- Überprüfen Sie das System auf verdächtige Aktivitäten wie den unerwarteten Neustart des Zimbra-Dienstes.
- Suchen Sie nach Dateien, die in den letzten 30 Tagen vom Benutzer zimbra im Ordner
/opt/zimbra/jetty/webapps/erstellt wurden. - Durchsuchen Sie den Ordner
/opt/zimbra/jetty_base/webapps/nach Dateien, die in den letzten 30 Tagen vom Benutzer zimbra erstellt wurden. - Untersuchen Sie den Ordner
/tmp/auf Dateien, die in den letzten 30 Tagen vom Benutzer zimbra erstellt wurden.
Kontext und frühere Angriffe auf Zimbra-Software
ZCS ist eine beliebte E-Mail- und Collaboration-Suite, die weltweit von Hunderten Millionen Organisationen und Personen genutzt wird, darunter Hunderte von Regierungsbehörden und Tausende von Unternehmen. Zimbra-Sicherheitsprobleme werden in freier Wildbahn häufig ins Visier genommen und wurden in den letzten Jahren verwendet, um sensible Daten von anfälligen E-Mail-Servern zu stehlen.
Zu den jüngsten Vorfällen gehört eine Offenlegung von Seqrite Labs-Forschern im März, wonach APT28, eine staatsnahe Bedrohungsgruppe mit Verbindungen zum russischen Militärgeheimdienst, eine Stored Cross-Site-Scripting-Schwachstelle (XSS) bei Angriffen auf ukrainische Regierungs-ZCS-Server ausnutzte. Im Oktober 2024 warnten US-amerikanische und britische Cyber-Behörden, dass APT29-Hacker (auch bekannt als Midnight Blizzard und Cozy Bear sowie mit dem russischen Auslandsgeheimdienst SWR verbunden) Zimbra-Server über eine Schwachstelle ins Visier nahmen, die zuvor zum Diebstahl von E-Mail-Zugangsdaten ausgenutzt worden war. Auch russische Cyber-Spione von Winter Vivern haben eine Reflected Cross-Site-Scripting-Schwachstelle (XSS) missbraucht, um E-Mails von NATO-nahen Personen und Organisationen über Zimbra-Webmail-Portale zu stehlen.
Wie es weitergeht
US-Bundesbehörden (Federal Civilian Executive Branch) sind verpflichtet, die Patch-Maßnahmen oder die Behebung der Schwachstelle CVE-2026-73570 gemäß der von der CISA vorgegebenen dreitägigen Frist bis zum 24. August abzuschließen.
Quelle: Originalartikel
