1 Minute
Angreifer kapern Zimbra-Server über SNMP-Lücke
Eine bereits seit Juli geschlossene Schwachstelle in Zimbra Collaboration wird derzeit aktiv ausgenutzt. CVE-2026-73570 betrifft Systeme mit aktivierter SNMP-Komponente und erlaubt unter bestimmten Voraussetzungen die Ausführung von Betriebssystembefehlen. Administratoren sollten daher nicht nur aktualisieren, sondern betroffene Server auch nachträglich auf eine mögliche Kompromittierung prüfen.
Die Schwachstelle steckt im optionalen zimbra-snmp-Paket und betrifft Systeme, auf denen SNMP-Benachrichtigungen aktiviert sind. Durch unzureichende Bereinigung von Eingaben bei der Verarbeitung solcher Benachrichtigungen lassen sich präparierte SMTP-Anfragen einschleusen. Ein erfolgreicher Angriff ermöglicht die Ausführung beliebiger Betriebssystembefehle mit den Rechten des Zimbra-Benutzers. Zimbra hat die Lücke mit Version 10.1.20 geschlossen, die bereits am 20. Juli erschienen ist. Die NVD führt CVE-2026-73570 mit einem CVSS-Wert von 8,9 und bestätigt, dass Versionen vor 10.1.20 betroffen sind.
Die aktive Ausnutzung meldete CERT Polska Mitte August. Das CERT rät Administratoren, neben der Aktualisierung auch "/var/log/zimbra.log" nach verdächtigen Statusänderungen zu durchsuchen und Dateien zu prüfen, die der Benutzer zimbra innerhalb der vergangenen 30 Tage in "/opt/zimbra/jetty/webapps/", "/opt/zimbra/jetty_base/webapps/" und "/tmp/" angelegt hat. CISA nahm die Schwachstelle am 21. August in ihren Katalog aktiv ausgenutzter Lücken auf. Shadowserver registrierte bei eigenen Scans am 22. August 274 kompromittierte Zimbra-Instanzen und gleichzeitig mehr als 8200 noch nicht aktualisierte Systeme. Letztere sind jedoch nicht automatisch verwundbar, da die betroffene SNMP-Konfiguration nicht standardmäßig aktiv ist.