ZCS Command Injection via SNMP Handlers Enables Unauthenticated Remote Code Execution
TL;DR · AI 摘要
Zimbra邮件平台存在高危RCE漏洞（CVE-2026-73570），攻击者可无需认证直接窃取邮件数据。该漏洞因SNMP日志处理机制缺陷导致，微软与波兰CERT已监测到大规模攻击活动。
核心要点
- CVSS 8.9评分漏洞允许未经身份验证的远程代码执行
- 攻击路径利用SNMP日志处理中的shell参数未过滤漏洞
- Synacor在7月20日修复但延迟至8月13日公开披露
结构提纲
按章节快速跳转。
思维导图
用一张图看清主题之间的关系。
查看大纲文本（无障碍 / 无 JS 友好）
- ZCS命令注入漏洞
- 漏洞详情
- CVSS 8.9评分
- SNMP日志处理缺陷
- 攻击路径
- SMTP邮件头注入
- shell参数未过滤
- 响应情况
- 7月20日修复
- 8月13日公开披露
金句 / Highlights
值得收藏与分享的关键句。
CVSS 8.9评分漏洞允许攻击者窃取完整邮箱档案和持久认证凭证
攻击者通过SMTP邮件头注入命令，利用未过滤的分号/反引号实现代码执行
Synacor在7月20日修复漏洞但延迟公开披露，导致攻击者有2周时间扫描公共实例
ZCS 通过 SNMP 处理程序实现命令注入，导致未认证远程代码执行 - InfoQ
InfoQ 首页 News ZCS 通过 SNMP 处理程序实现命令注入，导致未认证远程代码执行
开发
从 Token 到功能：为 AI 辅助工程构建成本归因体系（10 月 29 日网络研讨会）
ZCS 通过 SNMP 处理程序实现命令注入，导致未认证远程代码执行
2026 年 10 月 13 日 3 分钟阅读
作者：
- Olimpiu Pop
#### 关注我们
YouTube
232K 粉丝
26K 粉丝
新
RSS
19K 读者
X
57.1k 粉丝
21K 点赞
Bluesky
收听本文 -
0:00
音频准备就绪
您的浏览器不支持音频元素。
正常
1.25x
1.5x
喜欢
新下拉阅读列表
- 阅读列表
影响 Zimbra 协作套件邮件平台的关键远程命令执行漏洞正在被积极、广泛利用，攻击者无需事先访问系统即可窃取完整的邮箱存档和持久认证凭证。
该漏洞被标记为 CVE-2026-73570，CVSS 评分为 8.9，源于平台 SNMP 通知子系统内部的输入清理不当。当与面向公众的邮件传输代理结合使用时，该漏洞允许未认证的远程攻击者注入任意操作系统命令，并在 Zimbra 操作系统用户账户上下文中执行。
维护者 Synacor 最初于 2026 年 7 月 20 日在 Zimbra 协作套件 10.1.20 版本中悄然修复了该漏洞，但直到 2026 年 8 月 13 日才公开披露。在这一多周的披露延迟期间，攻击者反向工程了二进制更改并针对公共实例发起扫描活动。微软和波兰国家网络安全机构 CERT Polska 捕获的遥测数据显示，威胁组织在整个 7 月下旬和 8 月期间积极探测企业邮件基础设施，并在大多数运维团队意识到补丁严重性之前部署了后门。
在协议层面，该漏洞位于 Postfix 和上游邮件服务将操作状态警报传递给内部简单网络管理协议（SNMP）守护进程的路径中。Zimbra 安装了一个可选的遥测服务包，命名为 zimbra-snmp，该服务运行 swatchdog 日志监控工具来扫描日志条目并发送 snmptrap 警报。当传入的 SMTP 事务解析用户控制的报头参数时，经过精心设计的信封字段会直接记录到本地 syslog 目标中，而未进行 shell 参数清理。
swatchdog 守护进程使用正则表达式模式规则监控这些日志。一旦匹配，它会将捕获的文本变量插入到未加引号的字符串中，并直接传递给系统 shell 执行调用。由于分号、反引号和管道等字符在日志解析过程中保持完整，外部调用者可以直接将命令附加到操作系统陷阱执行字符串中。
图片来源：微软博客文章
观察到的攻击行为通常从轻量级的侦察扫描开始，威胁行为者会发送携带shell逻辑的SMTP数据包，通过curl或nslookup触发带外网络调用。这些回调会在更重的负载到达前确认命令执行。一旦验证成功，攻击者会注入base64编码的字符串，直接将JSP网络shell写入可被访问的服务器目录，例如Jetty应用服务器根目录（/opt/zimbra/jetty/webapps/zimbra/）。
在Jetty容器内建立任意文件写入和执行能力后，操作员会原生执行专为zimbra Unix用户提供的zmprov命令行工具。这可获取管理LDAP令牌、认证密钥和数据库凭证，从而解锁将完整用户邮箱导出到加密的暂存归档中，随后将数据外泄到外部云存储桶。
POST /zimbra/public/jsp_shell.jsp HTTP/1.1
Host: mail.target-enterprise.com
Content-Type: application/x-www-form-urlencoded
cmd=zmprov+getAllAccounts+-v+domain.com
zmmailbox -z -m [email protected] getRestURL "//?fmt=tgz" > /tmp/backup.tgz修复CVE-2026-73570漏洞需要将节点升级到Zimbra 10.1.20或更高版本，该版本将监控子系统中通过shell连接字符串执行的方式替换为直接传递给系统execve例程的安全参数数组。对于无法立即在多节点集群中执行二进制迁移的组织，维护人员建议完全禁用SNMP服务包，以消除易受攻击的swatchdog循环。
su - zimbra
zmcontrol stop snmp
zmprov ms `zmhostname` -zimbraServiceEnabled snmp禁用SNMP会停止向外传输遥测数据和自动化性能监控，这会降低中央监控管道和集群可观测性仪表板的功能。然而，来自Shadowserver基金会的操作情报显示，在漏洞披露后观察到约274个被入侵的生产实例，而约10,000个面向公网的Zimbra部署仍然暴露在扫描脚本之下。运行暴露邮件网关的系统团队必须将未打补丁的服务器视为已被入侵，检查Jetty部署目录中是否存在未经授权的JSP文件，轮换所有LDAP和zimbra服务账户凭证，并将管理端点限制在内部跳板主机上。
作者部分主容器
关于作者
章节标题
每个作者的主容器
#### Olimpiu Pop
显示更多
显示更少
#### 本内容属于安全主题
##### 相关主题：
- 开发
- DevOps
- 常见漏洞与暴露
- 安全漏洞
- 安全泄露
- 安全
- 相关编辑
- 相关赞助商
- 相关赞助商 2026年10月29日 13:00 EDT 从令牌到功能：为AI辅助工程构建成本归属架构 主讲人：Martin Reynolds - Harness首席技术官，Barani Mohandoss - Trimble云治理、FinOps与E-工具总监
InfoQ新闻通讯
每周五汇总InfoQ上周内容，每周二发送。加入超过25万名高级开发者的社区。查看示例
我们保护您的隐私。