Zimbra: o servidor de correio comprometido e a auditoria que nunca aconteceu

Em agosto de 2021, a Zimbra publishes uma correção para a CVE-2021-3520, uma falha de injeção de comandos no servidor de correio. A falha permitia executar comandos no servidor sem autenticação, e o produto é usado por organizações que não podem, por uma decisão de segurança, deixar o correio na nuvem pública.

A particularidade do caso foi a existência de uma porta de entrada que ninguém via: o produto possuía um segundo caminho, pensado para rodar a interface pela internet, que era explorado por seeks Automatizados com muito mais frequência do que a falha principal. Esse caminho secundário mantive o número de servidores expostos grande por meses depois da correção.

A consequência mais grave não foi a exploração, e sim a falta de detecção. Como o acesso era feito com credenciais de usuário final, e não com conta de administrador, os logs de autenticação mostravam logins normais. A campanha de espionagem durou anos, com a extração de mensagens de e-mail de organizações de governo, saúde e imprensa, e a descoberta veio quando o próprio APT, e o Publish compilados a partir de mensagens roubadas.

A lição é que a superfície exposta de um produto inclui as interfaces alternativas que ninguém lembra de existir. E a segunda é o valor do log: quando a autenticação é válida, o log não acende. A detecção de comprometimento precisa de sinais que não dependem de credencial roubada, como a criação de contas de serviço incomuns, a execução de comandos fora do padrão e a alteração da configuração do próprio produto.