Уязвимост в Zimbra: поправката чака от 20 юли

22.08

време за четене: 3 мин.

Историята изглежда като спешен случай: пропускът влиза в каталога на CISA на 21 август със срок за отстраняване 24 август. Три дни. По-точният прочит на датите обаче размества акцента изцяло. Поправената версия е налична от 20 юли, а временната мярка е обявена още на 26 юни - тоест наличното време не е било три дни, а близо два месеца.

Мъж в сървърно помещение държи разпечатка с дата и гледа стъписано, докато робот зад него вече е отворил вратата на шкафа с оборудването

Осем седмици между поправката и атаката

Пощенската платформа Zimbra се използва широко от организации, които държат кореспонденцията си на собствен сървър вместо в чужд облак. В България това я прави обичаен избор за университети, училища, общински структури и фирми, за които цената на лицензите има значение.

Производителят обявява проблема със сигурността на 26 юни и дава временна мярка, а постоянната поправка излиза с версия 10.1.20 на 20 юли 2026 година. Първата публично документирана вълна атаки идва почти два месеца по-късно: полският национален екип по реагиране публикува сигнал за текуща кампания на 17 август. На 21 август американската агенция по киберсигурност добавя пропуска в каталога си за активно използвани уязвимости.

Уязвимост в Zimbra: какво точно е засегнато

Става дума за инжектиране на команди към операционната система през компонента за наблюдение по протокола SNMP. Неудостоверен нападател изпраща специално създадени SMTP заявки и постига изпълнение на произволни команди с правата на системния потребител, под който върви платформата. Оценката по общоприетата скала е 8,9 - високо, но под прага от 9,0 за най-тежката категория, което няколко издания подминаха в заглавията си.

Засегнати са всички издания преди 10.1.20. Условието е инсталиран допълнителният пакет за SNMP и включени известия по него. Уязвимост в Zimbra от този тип не изисква открадната парола, което обяснява и скоростта на кампанията.

Защо тридневният срок не е белег за извънредност

Тук е нужно уточнение, което променя четенето на новината. Тридневният срок изглежда драматично кратък спрямо предишната практика от четиринайсет дни, но по новата директива вече е рутинен: единайсет от осемнайсетте августовски записа в каталога носят същия срок. Кратката дата отразява смяна на правилото, а не преценка, че конкретно този случай е по-опасен от останалите.

Полезно е и второ уточнение. Публикуваното число за над 12 100 видими от интернет сървъра на платформата, от които около 4 380 в Европа, се цитира на места като брой уязвими машини. То не е такова: това е броят на инсталациите, които изобщо се виждат отвън. Каква част от тях са закърпени и при каква част изобщо е включен SNMP компонентът, не е публично известно.

Какво може да се направи тази седмица

Проверката е кратка и не изисква външен доставчик. Установява се текущата версия и ако тя е под 10.1.20, обновяването е първата задача. Ако обновяване не може да стане веднага, известията по SNMP се изключват - това премахва условието за атака, без да спира пощата.

След това идва по-неприятната част: осем седмици излагане означава, че закърпването само по себе си не е достатъчно и е нужна проверка за вече настъпил пробив. Полският сигнал описва конкретни следи - записи за промяна в състоянието на услуга в дневника на платформата и файлове, създадени от системния потребител в директориите на уеб приложенията или във временната папка през последния месец.

Атрибуция засега няма. Използване от групи за изнудващ софтуер не е потвърдено, а изследователите изрично посочват, че извършителят и мотивът остават неясни.

Наблюдаваме и една организационна причина зад забавянето, която се повтаря при почти всеки такъв случай. Пощенският сървър обикновено се въвежда веднъж, работи безотказно години наред и точно заради това изпада от списъка на системите, които някой преглежда редовно. Отговорността се разпределя между няколко души, никой от които не я носи изцяло, а обновяването се отлага, защото носи риск от прекъсване на услуга, която в момента работи. Затова и мярката, която върши най-много работа, не е техническа: писмено определен отговорник и месечен ден за преглед на обновленията струват по-малко от едно денонощие възстановяване след пробив.

Заключение

Истинската поука тук не е за скоростта на нападателите, а за скоростта на обновяването. Поправка, която стои неинсталирана осем седмици, превръща решен проблем в отворена врата, а публичните каталози само описват момента, в който тази врата вече е намерена.

Помагаме на български организации да поддържат собствената си инфраструктура без излишен риск - с ясен ред за обновяване и проверка, съобразен с реалния екип, който я поддържа. Услугите ни покриват одит, оценка на готовност, обучение на екипи и имплементация на специализирани AI автоматизации за всяка организация. Препоръчваме консултация при поддръжка на собствен пощенски сървър или друга услуга, изложена директно към интернет. [Свържете се с нас за консултация: academy@razvivai.se]