In der Zimbra Collaboration Suite (ZCS) haben die Entwickler bereits vor einigen Wochen mit einer aktualisierten Fassung Sicherheitslücken geschlossen. Jetzt haben Angreifer angefangen, eine davon aktiv zu missbrauchen.
Davor warnt das polnische CERT aktuell in einer Ankündigung. Demnach können Angreifer aus dem Netz ohne vorherige Authentifizierung die fragliche Schwachstelle missbrauchen, um beliebige Shell-Befehle einzuschleusen und dabei mit den Rechten des Users „zimbra“ auszuführen. Dazu muss jedoch der SNMP-Trap-Dienst mittels Parameter „snmp_notify“ aktiviert und der Swatchdog-Dienst eingeschaltet sein – letzteres ist standardmäßig der Fall, das zimbra-snmp-Paket ist hingegen optional (CVE-2026-73570, CVSS 8.9, Risiko „hoch“). Die Lücke verpasst deshalb die Einstufung als kritisches Risiko nur äußerst knapp.
Die IT-Spezialisten des CERT.pl machen keine Aussagen zu Art und Umfang der Cyberangriffe. Die missbrauchte Lücke haben die Programmierer in der Fassung 10.1.20 und neueren von Zimbra geschlossen. IT-Verantwortliche sollten ihre Instanzen daher auf diesen oder einen neueren Softwarestand bringen.
Anzeichen für erfolgreiche Angriffe
Das CERT nennt noch Hinweise für erfolgreiche Angriffe (Indicators of Compromise, IOC), mit denen Admins prüfen können, ob ihre Installationen attackiert wurden. Demnach finden sich nach den aktuell entdeckten Angriffen in den Zimbra-Protokollen, die standardmäßig unter /var/log/zimbra.log liegen, Einträge der Art:
