Update i patchownie system\u00f3w, to sprawa do\u015b\u0107 prosta i nie zajmuj\u0105ca sporo czasu, jednak\u00a0niestety cz\u0119sto odk\u0142adana na p\u00f3\u017aniej.\u00a0Przyzwyczaili\u015bmy si\u0119 przez ostanie lata do do\u015b\u0107 \u201elu\u017anego\u201d podej\u015bcia w kwestii maintenance system\u00f3w IT.<\/p>\n
Kolejne poprawki wydawane przez producent\u00f3w system\u00f3w, s\u0105 systematycznie odk\u0142adane na \u201ep\u00f3\u0142k\u0119\u201d, na czas kiedy w wolnej chwili kto\u015b<\/strong> zajmie si\u0119 tematem. Sprawa nie dotyczy oczywi\u015bcie wszystkich firm i organizacji, poniewa\u017c s\u0105 te\u017c i takie, gdzie jest to starannie pouk\u0142adany proces IT.<\/p>\n W\u00f3wczas ryzyka zwi\u0105zane z podatno\u015bciami wa\u017cnych dla biznesu system\u00f3w IT, s\u0105 minimalizowane. I tak powinno by\u0107 zawsze. Prosty proces, uruchamiany w momencie otrzymania informacji od producenta trafia w odpowiedni\u0105 kolejk\u0119 i jest bardzo du\u017ca szansa, \u017ce zostanie zrealizowany.<\/p>\n Cz\u0119sto zach\u0119camy naszych Klient\u00f3w do podejmowania aktywnych dzia\u0142a\u0144 w celu unormowania \u015bcie\u017cki maintenance kluczowych system\u00f3w. Mo\u017cna to zrealizowa\u0107 od strony informacyjnej w wielu narz\u0119dziach, jak cho\u0107by zadanie w systemie ticketowym.<\/p>\n W ostatnich dniach zauwa\u017cyli\u015bmy spory wzrost atak\u00f3w, kt\u00f3re prawdopodobnie wykorzystuj\u0105 podatno\u015b\u0107 \u00a0CVE-2022-27924<\/a>. Ataki polegaj\u0105 na umieszczeniu z\u0142o\u015bliwego kodu, kt\u00f3ry umo\u017cliwia atakuj\u0105cemu wykonanie dowolnego polecenia z prawami u\u017cytkownika Zimbra<\/a> w zdegradowanym \u015brodowisku, co w konsekwencji mo\u017ce prowadzi\u0107 do wycieku danych lub nawet ich utraty poprzez zdalne usuni\u0119cie lub zaszyfrowanie.<\/strong> W zdegradowanych serwerach, kt\u00f3re analizowali\u015bmy, atakuj\u0105cy umieszczali i uruchamiali koparki bitcoin\u00f3w.<\/p>\n Co zabezpiecza przed przej\u0119ciem naszego serwera, to aktualne \u015brodowisko Zimbra czyli zainstalowany co najmniej Patch 24.1 dla Zimbra 9.0.0 lub Patch 31.1 dla Zimbry wersji 8.8.15.<\/strong><\/p>\n Je\u017celi chcesz przekona\u0107 si\u0119 czy Tw\u00f3j serwer nie zosta\u0142 zdegradowany to wykonaj poni\u017csze komendy i przeanalizuj ich wynik:<\/p>\n <\/p>\n find \/opt\/zimbra\/jetty_base\/ -path \/opt\/zimbra\/jetty_base\/work -prune -o -mtime -140 -type f | grep jsp<\/p>\n find \/opt\/zimbra\/jetty\/ -path \/opt\/zimbra\/jetty\/work -prune -o -mtime -140 -type f | grep jsp<\/p>\n <\/p>\n zgrep -aE 'mboximport|python-requests’ \/opt\/zimbra\/log\/access_log* |less<\/p>\n zgrep -a 'zmprov’ \/opt\/zimbra\/log\/access_log* |grep -av '127.0.0.1′ |less<\/p>\nA teraz o ostatnich wydarzeniach zwi\u0105zanych z Zimbr\u0105.<\/h3>\n
\n
\n
Je\u017celi Tw\u00f3j serwer zosta\u0142 zaatakowany nale\u017cy jak najszybciej wy\u0142\u0105czy\u0107 jego dost\u0119p z zewn\u0105trz (panel webowy) oraz przemigrowa\u0107 dane na nowy serwer z zainstalowanym najnowszym patchem.<\/strong><\/h3>\n