Zimbra にSMTP経由のOSコマンド注入 ― 同一製品が繰り返しKEVに載るということ

1メールを受け取る口が命令の入口になる

メールサーバは、外部から不特定の相手が接続してくることを前提に置かれています。SMTPは受信のための手順であり、受け付けをやめるわけにはいきません。この項目は、その受け付けの処理に「OSコマンド注入」があるというものです。細工した要求を送ると、その内容の一部がサーバ上で命令として解釈され、Zimbraの実行ユーザの権限で動いてしまうとされています。認証は不要とされており、送れる相手であれば誰でも試せる位置にあります。

2同じ製品が何度も載る

2026年9月2日時点で当サイトが保持する記録を製品名で集計すると、Zimbra Collaboration Suite は17件です。製品名が680種に及ぶなかで、同じ製品が繰り返しカタログに載ることには意味があります。一つは、その製品が外部に面していて悪用の対象になりやすいこと。もう一つは、導入している組織が多く、悪用の事実が観測されやすいことです。

同じ数の記録を持つ Exchange Server と並ぶことも、メール基盤という位置の共通性を示しています。

3実行ユーザの権限という限界と危険

記録では、実行されるのはZimbraの実行ユーザの権限としています。管理者権限そのものではありませんが、メールサーバのプロセスが読み書きできる範囲は広く、保存されたメールや設定、認証に関わる情報に手が届きます。そこから先に権限を上げる手口と組み合わされることも珍しくありません。第一段階の制約をもって被害の上限と見なすことはできません。

4猶予3日という指定

是正期限は追加の3日後です。2026年9月2日時点で当サイトが保持する1,687件の猶予日数は中央値21日、最短1日、最長184日なので、短い部類にあたります。外部から認証なしで到達できる経路であることが、この指定に表れていると読めます。

求められる対応は、ベンダーの指示にしたがう緩和策の適用、クラウドサービスについてはBOD 22-01の該当する指針にしたがうこと、または利用の停止です。適用の可否は必ずベンダーの公式情報と自組織の環境でご確認ください。