Synacor Zimbra Collaboration Suite (ZCS) Arbitrary File Upload Vulnerability

Zimbra Collaboration (aka ZCS) 8.8.15 and 9.0 has mboximport functionality that receives a ZIP archive and extracts files from it. An authenticated user with administrator rights has the ability to upload arbitrary files to the system, leading to directory traversal.

The Cyber Security Agency of Singapore included this CVE in its official Security Bulletin 27 Apr 2022, published on 27 April 2022. Open the linked bulletin for the product, severity and reference information published in that issue.

De multiples vulnérabilités ont été découvertes dans Zimbra. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et une atteinte à l'intégrité des données.

Le compromissioni rilevate derivano dalla presenza sul perimetro esposto di istanze Zimbra Collaboration Suite non aggiornate, prive dei correttivi di sicurezza o giunte a fine ciclo di vita. Il vettore di attacco preponderante è rappresentato dalla vulnerabilità critica CVE-2026-73570 , alla quale si affiancano casi riconducibili a ulteriori vulnerabilità note (e non mitigate sui sistemi colpiti) quali CVE-2024-45519, CVE-2022-41352, CVE-2022-27925, CVE-2022-37042 e CVE-2023-38750 , nonché un incidente occorso su un sistema legacy in fase di dismissione con vettore non determinato. L’ottenimento dell’accesso iniziale ha consentito agli attaccanti di operare nel contesto di esecuzione dell'utente applicativo e di impiantare webshell e processi pianificati per preservare l’accesso ai sistemi. Gli impatti concreti riscontrati a carico delle organizzazioni colpite sono stati i seguenti: paralisi operativa dei servizi di messaggistica aziendale con interruzioni prolungate a danno di migliaia di utenti; perdita di disponibilità e integrità dei dati a seguito di cifratura tramite ransomware; sottrazione della base dati LDAP e dei relativi archivi di credenziali; reimpostazione malevola non autorizzata delle password di tutte le caselle di posta ospitate; degrado prestazionale causato dall'allocazione illecita di risorse per il cryptomining; coinvolgimento involontario dell'infrastruttura vittima in campagne distribuite di scansione e attacco brute forcing dirette verso soggetti terzi. Di seguito si riporta l’analisi di dettaglio distinta per vettori di sfruttamento e finalità operative osservate. Attacchi associati alla CVE-2026-73570 La CVE-2026-73570 – già trattata nell’ambito dell’ AL06/260814/CSIRT-ITA - costituisce il vettore di compromissione comune alla maggior parte degli eventi analizzati, pur conducendo a esiti operativi divergenti. La vulnerabilità è stata impiegata come vettore di accesso iniziale per una pluralità di scopi malevoli distinti: veicolare ransomware, distribuire processi di cryptomining, impiantare webshell per garantire l'accesso remoto continuo, prelevare arbitrariamente basi di dati applicative ed informazioni sensibili, nonché esporre le macchine violate per condurre ulteriori attacchi verso soggetti terzi. Tale eterogeneità comprova come la vulnerabilità sia stata oggetto di sfruttamento concorrente da parte di molteplici attori d'attacco con diverse priorità strategiche. Distribuzione di ransomware In due distinti eventi, lo sfruttamento della CVE-2026-73570 è culminato nel rilascio di ransomware a danno dei server bersaglio. Nel primo incidente, che ha interessato un'istanza Zimbra 8.7.11.GA.1854, l'attaccante ha fatto leva sulla vulnerabilità per istanziare una reverse shell interattiva verso un'infrastruttura remota, completando la cifratura non reversibile di molteplici file su uno dei nodi server compromessi. Nel secondo evento, pur a fronte di una versione di Zimbra non specificata, l'attività ostile ha introdotto direttamente l'eseguibile elockch , artefatto binario identificato tramite impronta SHA-256 e riferibile al ransomware della famiglia ELock, noto per mirare specificamente ad ambienti enterprise e installazioni ZCS. Elemento tecnico determinante al fine di correlare i casi è la presenza documentata del pacchetto opzionale Zimbra-SNMP, componente che ha abilitato la superficie di attacco necessaria per l'innesco della vulnerabilità, sebbene il livello di dettaglio acquisito non consenta di ricondurre univocamente i due episodi alla medesima matrice della minaccia o all'uso del medesimo payload crittografico nel primo sistema. Installazione di cryptominer In tre distinti eventi, lo sfruttamento della CVE-2026-73570 è stato indirizzato all'installazione di software per l'estrazione non autorizzata di criptovaluta, finalizzato alla monetizzazione diretta tramite assorbimento delle risorse di calcolo dei server. Nel primo evento, la compromissione ha interessato un'istanza Zimbra nella versione 10.1.19, non allineata alla patch di sicurezza 10.1.20 resa disponibile dal vendor a luglio 2026; l'intrusione ha permesso l'esecuzione di comandi con privilegi dell'utenza locale zimbra e l'impianto di un modulo di cryptomining reso persistente tramite una voce pianificata, nel crontab della medesima utenza, deputata all'esecuzione ciclica del payload collocato nel percorso /var/tmp/.x/upd . Tale schema operativo, basato sull'abuso di directory temporanee per ospitare script o binari di aggiornamento richiamati da cron , replica fedelmente i modelli di persistenza documentati nelle campagne di cryptojacking orientate a sistemi Linux, pur non consentendo l'identificazione certa dello specifico engine di calcolo adoperato in questo specifico target. Nel secondo episodio, registrato su una versione di sistema non documentata, l'attività ha comportato la configurazione di molteplici meccanismi di persistenza, l'attivazione di servizi malevoli e il contestuale download di ulteriori moduli software da host remoti controllati dalla minaccia. Nel terzo evento, l’attaccante si è limitato ad impiantare ed eseguire il software di mining senza ulteriori compromissioni e/o movimenti laterali. Il quadro che ne deriva dimostra l'impiego concorrente della vulnerabilità per acquisire capacità di calcolo, evidenziando altresì una gestione operativa eterogenea della persistenza tra i diversi target impattati. Esecuzione di payload remoti In un singolo evento, lo sfruttamento della vulnerabilità è stato utilizzato per ottenere l'esecuzione arbitraria di comandi non autenticati e recuperare un payload da un'infrastruttura di staging esterna http://[URL_REMOTO]/zed . L'attività malevola ha portato all'esecuzione direttamente in memoria di uno script Perl, senza rilascio di file persistenti sul disco. È stato inoltre rilevato il tentativo di interazione con un presunto server di comando e controllo operante su protocollo IRC. Dagli accertamenti condotti non sono tuttavia emerse evidenze di attività post-compromissione, persistenza locale, movimenti laterali o esfiltrazione di dati dal sistema, confermando che l'attacco si è arrestato alla fase di esecuzione iniziale del payload fileless e della relativa sessione di comando remota. Webshell, raccolta di dati ed esfiltrazione In due ulteriori eventi correlati alla CVE-2026-73570, l'accesso iniziale ottenuto con lo sfruttamento è stato finalizzato all'impianto di webshell per mantenere il presidio dei sistemi, acquisire informazioni riservate e compromettere la continuità del servizio. Nel primo caso, verificatosi su un'istanza Zimbra 10.1.4, è stato osservato il rilascio di molteplici artefatti JSP nelle directory esposte dal servizio web, permettendo l'esecuzione di comandi con i privilegi dell'utenza applicativa. Sul server sono state rinvenute webshell con parametri codificati in Base64, componenti gestite tramite il framework Behinder v3 con cifratura AES/ECB e script adibiti alla lettura di file di configurazione dotati di routine di autocancellazione per ostacolare l'analisi forense; l'intrusione è culminata nell'esfiltrazione accertata della base dati LDAP, dell'elenco delle caselle di posta e dei corrispondenti hash delle credenziali di autenticazione. Nel secondo evento, l'installazione e la persistenza di molteplici webshell JSP - tra le quali alcune denominate Cykrrva8.jsp , Xv03ug6v.jsp , Config.jsp , info.jsp e rr.jsp - hanno comportato l'interruzione completa dei servizi di posta elettronica per un arco temporale di 48 ore a danno di oltre 6000 caselle utente, sebbene le indagini forensi non abbiano documentato sottrazioni di dati. I due incidenti evidenziano una rilevante correlazione infrastrutturale, testimoniata dalla condivisione di cinque specifici indirizzi IP di comando e controllo e dall'omogeneità dei costrutti JSP impiegati. Nonostante la sovrapposizione rilevata indichi la possibilità dell'impiego della medesima infrastruttura di attacco o l'appartenenza a una campagna coordinata, le evidenze tecniche raccolte non consentono di attribuire con certezza entrambi gli episodi allo stesso attore. Attività di brute forcing SSH In un evento registrato su una piattaforma basata su sistema operativo CentOS, il server Zimbra compromesso è stato convertito in un nodo sorgente per condurre attacchi di tipo “brute force” mediante protocollo SSH verso obiettivi remoti. L'intrusione ha comportato la creazione di contenuti arbitrari all'interno della directory pubblica del servizio web Jetty, collocata nel percorso /opt/zimbra/jetty_base/webapps/zimbra/public , dove sono stati rinvenuti i file denominati check_51tbh1xj.txt e check_ci0avbur.txt . La creazione di tali file indica una procedura di verifica esplicita attuata dall'attaccante per confermare i permessi di scrittura sul filesystem prima di dare il via all’esecuzione delle fasi successive, a cui si è accompagnata la manomissione di ulteriori componenti locali. La CVE-2026-73570 è stata indicata quale presunto vettore di ingresso iniziale, sebbene gli elementi tecnici disponibili non consentano di certificarne l'effettivo impiego in modo inequivocabile rispetto ad altri vettori concorrenti. Attacco associato alla CVE-2024-45519 Un incidente documenta lo sfruttamento della CVE-2024-45519 a danno di un'istanza Zimbra nella versione 8.8.15 priva dei relativi aggiornamenti di sicurezza, con finalità accertata di distribuzione di ransomware. Le tecniche osservate delineano una sequenza di attacco strutturata: a seguito dell'accesso iniziale tramite il servizio esposto, l'attore malevolo ha interagito mediante interprete di comandi Unix, raccolto credenziali memorizzate sul sistema e instaurato un canale di comando e controllo per l'esfiltrazione preventiva di dati e la successiva cifratura delle risorse. La mancata trasmissione di indicatori di compromissione specifici nell'ambito della notifica dell’incidente impedisce l'attribuzione del payload a una famiglia ransomware nota e l'entità esatta dei file cifrati o esfiltrati, confermando comunque l'elevata criticità derivante dall'esercizio di rami software obsoleti ed esposti alla rete. Attacco associato alla CVE-2022-41352 L'evento riconducibile allo sfruttamento della CVE-2022-41352 – trattata da questo CSIRT nell’ambito della AL03/221014/CSIRT-ITA - ha determinato la compromissione di un server configurato come relay SMTP, convertito in piattaforma per la conduzione di attacchi derivati di tipo brute force e per l'estrazione non autorizzata di criptovaluta. Le analisi hanno consentito di isolare un binario dropper appartenente alla famiglia di malware Kinsing e un payload XMRig versione 6.26.0 collocato nel percorso /tmp/softwaretech , configurato con un wallet Monero e attestato su server di mining pool situati su infrastrutture cloud estere. Per garantire l'accesso permanente alla macchina, gli attaccanti hanno iniettato una chiave pubblica arbitraria nel file authorized_keys dell'utenza locale zimbra, mentre i log di sistema documentano precedenti attività di ricognizione e probing sulle interfacce SOAP e violazioni SMTP di tipo PREGREET originate da host remoti. L'infezione ha generato un severo assorbimento delle capacità computazionali del server, testimoniato dal rilascio del file di dump Java /tmp/hs_err_pid18030.log generato a seguito di un errore Out-Of-Memory (OOM) e dal conseguente crash dei processi applicativi, evidenziando come l'azione congiunta del miner e della botnet comprometta la stabilità operativa dell'infrastruttura di posta oltre ad asservirla ad attività ostili verso l'esterno. Uteriori eventi compatibili con lo sfruttamento delle CVE-2022-27925, CVE-2022-37042 e CVE-2023-38750 Due incidenti risultano correlati a vulnerabilità note pregresse che interessano le servlet applicative di Zimbra, a conferma del persistere di attacchi automatici volti a colpire installazioni prive di manutenzione ordinaria. Nel primo episodio, occorso su un'istanza antecedente alla versione 10.1.20, l'attore malevolo ha abusato delle funzionalità di upload/SOAP riconducibili alla CVE-2022-27925 , congiuntamente alla CVE-2023-38750 – trattata nell’ambito della AL01/230726/CSIRT-ITA -, per ottenere l'esecuzione remota di comandi, disabilitare le difese locali del sistema e impiantare multiple webshell JSP tramite le quali veicolare un cryptominer e stabilire connessioni verso un'infrastruttura di comando e controllo. L'attività ha inoltre comportato l'instaurazione di sessioni di comunicazione verso un'infrastruttura di comando e controllo attestata su porta non convenzionale (porta TCP 8801), preceduta da attività di probing e ricognizione condotte da molteplici indirizzi IP associati a scanner automatici. Nel secondo caso, lo sfruttamento plausibilmente ascrivibile alle vulnerabilità CVE-2022-27925 o CVE-2022-37042 – trattate nell’ambito del BL01/220817/CSIRT-ITA - ha condotto alla cifratura delle risorse a scopo di estorsione; l'impiego del ransomware della famiglia ELock risulta supportato dal rinvenimento dell'artefatto denominato .elock associato alle evidenze crittografiche acquisite. Caso con vulnerabilità non determinata In un evento registrato, l'impossibilità di acquisire indicatori di compromissione specifici non ha consentito di determinare l'esatta vulnerabilità sfruttata per l'intrusione iniziale. L'incidente ha impattato un server Zimbra attestato su una versione obsoleta e formalmente avviato verso la dismissione, ma mantenuto esposto verso la rete pubblica senza adeguate misure di monitoraggio o isolamento. A seguito dell'accesso iniziale, l'attore ha provveduto ad ottenere privilegi elevati sul sistema e manipolato i dati applicativi tramite sessioni di shell Unix, procedendo alla reimpostazione arbitraria e forzata delle credenziali di accesso di tutte le caselle di posta ospitate sull'infrastruttura. Sono stati altresì rilevati processi malevoli in esecuzione verosimilmente finalizzati ad attività di cryptomining, la cui natura esatta non è stata definita a causa dell'assenza di artefatti binari acquisiti. L'episodio rimarca il rischio operativo derivante dalla permanenza in rete di sistemi legacy non presidiati, esposti a vettori opportunistici non identificati a priori.

Zimbra の collaboration には、危険なタイプのファイルの無制限アップロードに関する脆弱性が存在します。

Zimbra Collaboration (ZCS) contains flaw in the mboximport functionality, allowing an authenticated attacker to upload arbitrary files to perform remote code execution. This vulnerability was chained with CVE-2022-37042 which allows for unauthenticated remote code execution.