// HEISE ONLINE — CYBERSECURITY
Zimbra: Warnung vor Angriffen auf Befehlsschmuggel-Lücke
Das polnische CERT warnt vor Angriffen auf eine Befehlsschmuggel-Lücke in der Zimbra Collaboration Suite. Ein Update ist verfügbar.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
In der Zimbra Collaboration Suite (ZCS) haben die Entwickler bereits vor einigen Wochen mit einer aktualisierten Fassung Sicherheitslücken geschlossen. Jetzt haben Angreifer angefangen, eine davon aktiv zu missbrauchen.
Davor warnt das polnische CERT aktuell in einer Ankündigung. Demnach können Angreifer aus dem Netz ohne vorherige Authentifizierung die fragliche Schwachstelle missbrauchen, um beliebige Shell-Befehle einzuschleusen und dabei mit den Rechten des Users „zimbra“ auszuführen. Dazu muss jedoch der SNMP-Trap-Dienst mittels Parameter „snmp_notify“ aktiviert und der Swatchdog-Dienst eingeschaltet sein – letzteres ist standardmäßig der Fall, das zimbra-snmp-Paket ist hingegen optional (CVE-2026-73570, CVSS 8.9, Risiko „hoch“). Die Lücke verpasst deshalb die Einstufung als kritisches Risiko nur äußerst knapp.
Die IT-Spezialisten des CERT.pl machen keine Aussagen zu Art und Umfang der Cyberangriffe. Die missbrauchte Lücke haben die Programmierer in der Fassung 10.1.20 und neueren von Zimbra geschlossen. IT-Verantwortliche sollten ihre Instanzen daher auf diesen oder einen neueren Softwarestand bringen.
Das CERT nennt noch Hinweise für erfolgreiche Angriffe (Indicators of Compromise, IOC), mit denen Admins prüfen können, ob ihre Installationen attackiert wurden. Demnach finden sich nach den aktuell entdeckten Angriffen in den Zimbra-Protokollen, die standardmäßig unter /var/log/zimbra.log liegen, Einträge der Art:
Service status change: changed from stopped to runningService status change: changed from running to stopped
Außerdem sollen Admins prüfen, ob der User „zimbra“ in den vergangenen 30 Tagen Dateien in folgenden Verzeichnissen erstellt hat:
/opt/zimbra/jetty/webapps//opt/zimbra/jetty_base/webapps//tmp/
Schwachstellen in ZCS stehen bei Cyberkriminellen hoch im Kurs. Zimbra läuft oft in Regierungs- sowie in Forschungs- und Bildungseinrichtungen. Ende Juli wurde etwa bekannt, dass russische Akteure bereits seit einem Jahr unter anderem eine Zero-Click-Sicherheitslücke in Zimbra missbraucht haben, um Ziele wie westliche Regierungen, kommerzielle sowie Bildungseinrichtungen, den Energiesektor, Strafverfolger, Medien, Nichtregierungsorganisationen und den Technologiesektor anzugreifen.