Die technische Ursache beschreibt Zimbra selbst deutlich: Wegen unzureichender Prüfung nicht vertrauenswürdiger Eingaben bei der Verarbeitung von SNMP-Benachrichtigungen könne ein nicht authentifizierter Angreifer speziell präparierte SMTP-Anfragen senden, die zur Ausführung beliebiger Betriebssystembefehle im Kontext des Nutzers zimbra führen könnten. Voraussetzung ist, dass SNMP-Benachrichtigungen auf dem Zielsystem eingeschaltet sind.
Details zu den laufenden Angriffen nennt CISA nicht. Konkreter wird das polnische CERT: Sicherheitsteams sollten ihre Protokolle auf Auffälligkeiten prüfen, etwa auf unerwartete Neustarts des Zimbra-Dienstes. Ebenso sollten sie kontrollieren, ob in den vergangenen 30 Tagen vom Nutzer zimbra Dateien in den Verzeichnissen /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/ und /tmp/ angelegt wurden.
Die Angriffsfläche ist beträchtlich. ZCS ist eine weit verbreitete E-Mail- und Kollaborationsplattform, die nach Angaben aus dem Umfeld des Herstellers von Hunderten Millionen Organisationen und Personen genutzt wird, darunter Hunderte Behörden und Tausende Unternehmen. Shadowserver sieht derzeit über 12.000 exponierte Server im Netz; belastbare Zahlen zum Patchstand dieser Systeme fehlen. Fest steht dagegen der Fund von mehr als 270 bereits kompromittierten Installationen.
Zimbra-Server gehören seit Jahren zu den beliebten Zielen staatsnaher Angreifer, die dort vor allem an sensible Daten aus E-Mail-Postfächern wollen. Forscher von Seqrite Labs berichteten im März, dass APT28 – eine staatlich gesteuerte Gruppe mit Verbindungen zum russischen Militärnachrichtendienst – eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS) in Angriffen auf ZCS-Server ukrainischer Regierungsstellen ausnutzte.
Im Oktober 2024 warnten Cyberbehörden der USA und Großbritanniens davor, dass die dem russischen Auslandsnachrichtendienst zugerechnete Gruppe APT29 – auch als Midnight Blizzard und Cozy Bear geführt – Zimbra-Server über eine Schwachstelle angriff, die zuvor schon zum Abgreifen von Zugangsdaten für E-Mail-Konten eingesetzt worden war. Die russischen Spione von Winter Vivern nutzten eine reflektierte XSS-Lücke, um über Zimbra-Webmail-Portale E-Mails von NATO-nahen Personen und Organisationen zu stehlen.
Für die betroffenen Betreiber bleibt damit die Aktualisierung auf Version 10.1.20 der zentrale Schritt – flankiert von der vom CERT Polska empfohlenen Suche nach Einbruchsspuren, da eine Kompromittierung vor dem Einspielen des Updates nicht durch das Update behoben wird.