Direttiva CISA e dettagli della vulnerabilità
La Cybersecurity and Infrastructure Security Agency (CISA) ha ordinato formalmente alle agenzie federali civili esecutive degli Stati Uniti di mettere in sicurezza i propri sistemi contro una vulnerabilità di sicurezza attivamente sfruttata che interessa la Zimbra Collaboration Suite (ZCS). Tracciata come CVE-2026-73570, la falla di sicurezza è stata corretta dal team di sicurezza di Zimbra nella versione 10.1.20, rilasciata il 20 luglio. Il problema ha origine all’interno del componente di monitoraggio SNMP del software di collaboration.
Lo sfruttamento con successo di questa debolezza consente ad attaccanti non autenticati di ottenere l’esecuzione di codice remoto sui sistemi target. La vulnerabilità sorge in modo specifico quando le notifiche SNMP sono abilitate sul sistema preso di mira, a causa di una sanitizzazione impropria dell’input non attendibile durante l’elaborazione delle notifiche SNMP. Inviando richieste SMTP (Simple Mail Transfer Protocol) appositamente create, un attaccante non autenticato può causare l’esecuzione di comandi arbitrari del sistema operativo come utente Zimbra.
Il team di sicurezza di Zimbra aveva precedentemente rilasciato un aggiornamento software che risolveva questa falla di sicurezza nella versione 10.1.20 il 20 luglio. Tuttavia, successive osservazioni sul campo hanno confermato che la vulnerabilità viene attivamente presa di mira da attori malevoli in campagne in corso.
Scoperta e sfruttamento nel mondo reale
L’avvertimento della CISA arriva dopo che CERT Polska, il Computer Emergency Response Team polacco, ha segnalato per primo la vulnerabilità come bersagliata “in the wild” lo scorso lunedì. Venerdì, la CISA ha confermato l’allarme di CERT Polska, ha aggiunto la falla al proprio catalogo delle vulnerabilità sfruttate note e ha ordinato alle agenzie federali civili esecutive degli Stati Uniti di mettere in sicurezza i propri sistemi entro tre giorni, ovvero entro il 24 agosto.
Organizzazioni di sicurezza indipendenti e osservatori delle minacce hanno monitorato la diffusa esposizione e il potenziale compromesso di server che eseguono il software. Mentre il watchdog della sicurezza Shadowserver monitora più di 12.000 server Zimbra esposti su Internet, non ci sono informazioni su quanti siano honeypot o siano già stati protetti contro gli attacchi che sfruttano la falla CVE-2026-73570.
Lunedì, Shadowserver ha anche dichiarato di aver trovato oltre 270 istanze di Zimbra Collaboration Suite compromesse durante la ricerca di artefatti di sfruttamento della CVE-2026-73570. Sebbene la CISA non abbia condiviso alcuna informazione su questi attacchi in corso, il team CERT polacco ha chiesto ai team di sicurezza di controllare i log alla ricerca di attività sospette, come il riavvio inatteso del servizio Zimbra, e di file creati in posizioni specifiche.
- Verificare la presenza di attività sospette come il riavvio inatteso del servizio Zimbra.
- Cercare file creati nella cartella
/opt/zimbra/jetty/webapps/dall’utente zimbra negli ultimi 30 giorni. - Ispezionare la cartella
/opt/zimbra/jetty_base/webapps/alla ricerca di file creati dall’utente zimbra negli ultimi 30 giorni. - Esaminare la cartella
/tmp/alla ricerca di file creati dall’utente zimbra negli ultimi 30 giorni.
Contesto e precedenti prese di mira del software Zimbra
ZCS è una popolare suite di posta elettronica e collaboration utilizzata da centinaia di milioni di organizzazioni e persone in tutto il mondo, incluse centinaia di agenzie governative e migliaia di aziende. I problemi di sicurezza di Zimbra vengono comunemente presi di mira “in the wild” e sono stati utilizzati per rubare dati sensibili da server di posta elettronica vulnerabili negli ultimi anni.
Più recentemente, i ricercatori di Seqrite Labs hanno rivelato a marzo che APT28, un gruppo di minaccia sponsorizzato da uno stato collegato all’intelligence militare russa, stava sfruttando una vulnerabilità di Cross-Site Scripting (XSS) memorizzato in attacchi mirati ai server ZCS del governo ucraino. Nell’ottobre 2024, le agenzie di cybersicurezza di Stati Uniti e Regno Unito hanno avvertito che gli hacker di APT29, tracciati come Midnight Blizzard e Cozy Bear e collegati al Servizio di Intelligence Estero della Russia, stavano prendendo di mira i server Zimbra utilizzando una falla precedentemente sfruttata per rubare le credenziali degli account di posta elettronica. Anche le spie informatiche russe di Winter Vivern hanno abusato di una vulnerabilità di Cross-Site Scripting (XSS) riflesse per rubare email appartenenti a individui e organizzazioni allineati con la NATO tramite i portali webmail di Zimbra.
Cosa succede adesso
Le agenzie federali civili esecutive degli Stati Uniti sono tenute a completare l’applicazione delle patch o la mitigazione della vulnerabilità CVE-2026-73570 in conformità con la scadenza di tre giorni imposta dalla CISA entro il 24 agosto.
Fonte: Articolo originale
