Email หาย เมื่อส่งจาก Outlook ไปที่ Zimbra

      ปัญหาหนึ่งที่ผู้ดูแลระบบหรือผู้ใช้ zimbra อาจจะเคยเจอหรือได้รับรายงาน คือมีการส่ง Email เข้ามาที่เครื่อง Zimbra แล้วผู้รับไม่ได้รับ แต่ไม่ได้เป็นทุกครั้ง และส่วนใหญ่จะหาสาเหตุไม่ได้ ผมเองก็ได้รับรายงานจากลูกค้าผมเหมือนกัน ตอนแรกๆ ก็สงสัยว่าเกิดอะไรขึ้น จนสุดท้าย เมื่อได้รับรายงานและมีข้อมูลให้วิเคราะห์มากพอ เมื่อตรวจสอบลึกลงไป ก็ได้ทราบถึงสาเหตุ และวิธีการแก้ไข ตามนี้ครับ

สถานการณ์ที่เกิดขึ้นกับผม 

• user_a@senderdomain.com มีการส่ง Email มายัง Zimbra  โดยส่งมาให้ user_b@zimbradomain.com และ CC: user_c@zimbradomain.com
• user_b@zimbradomain.com ไม่ได้รับ Email นี้
• แต่ user_c@zimbradomain.com ได้รับ Email 

ส่ิงที่ผมทำก็คือ ดูที่ /var/log/zimbra.log  เพื่อดูว่า เครื่อง Zimbra ได้รับ Email ที่ว่านี้จาก user_a  หรือไม่ ข้อมูลจาก log file คือ เครื่อง Zimbra ได้รับ Email และส่งต่อไปให้ ยัง User B และ User C แล้ว ตามข้อมูลนี้ 

Jul 16 17:22:36 mail amavis[595]: (00595-15) Passed CLEAN {RelayedInternal}, ORIGINATING_POST/MYNETS LOCAL [127.0.0.1]:43744 [110.170.164.226] <user_a@senderdomain.com> -> <user_c@zimbradomain.com>,<user_b@zimbradomain.com>, Queue-ID: 559BC40DE6EAE, Message-ID: <!&!AAAAAAAAAAAYAAAAAAAAAHMG31lBzq9EnA4ND3fjIazCgAAAEAAAALwAfFLJ9TdEgSYwUSy/GGEBAAAAAA==@senderdomain.com>, mail_id: I

Jul 16 17:22:36 mail amavis[595]: (00595-15) IyGsl1CPBC8i FWD from <user_a@senderdomain.com> -> <user_c@zimbradomain.com>,<user_b@zimbradomain.com>, BODY=7BIT 250 2.0.0 from MTA(smtp:[127.0.0.1]:10025): 250 2.0.0 Ok: queued as CF12E40DE6E91

.....

Jul 16 17:22:37 mail postfix/lmtp[1001]: CF12E40DE6E91: to=<user_c@zimbradomain.com>, relay=mail.zimbradomain.com[192.168.22.43]:7025, delay=0.22, delays=0.06/0/0.05/0.12, dsn=2.1.5, status=sent (250 2.1.5 Delivery OK)

Jul 16 17:22:37 mail postfix/lmtp[1001]: CF12E40DE6E91: to=<user_b@zimbradomain.com>, relay=mail.zimbradomain.com[192.168.22.43]:7025, delay=0.22, delays=0.06/0/0.05/0.12, dsn=2.1.5, status=sent (250 2.1.5 Delivery OK)

Jul 16 17:22:37 mail postfix/qmgr[5540]: CF12E40DE6E91: removed

วิเคราะห์ข้อมูลต่อ ใน mailbox.log

สิ่งที่ผมทำต่อคือ ดูข้อมูลในไฟล์ /opt/zimbra/log/mailbox.log ดูว่า user_b ทำไม่ได้รับ Email โดยผมกรองเฉพาะ log ที่เกี่ยวข้องกับ user_b มาดู ผมไปเจอ message ที่น่าสนใจคือ 

2020-07-16 17:22:37,066 INFO  [LmtpServer-59285] [name=user_b@zimbradomain.com;mid=175;ip=192.168.22.43;]
lmtp - Not delivering message with duplicate Message-ID
 <!&!AAAAAAAAAAAYAAAAAAAAAHMG31lBzq9EnA4ND3fjIazCgAAAEAAAALwAfFLJ9TdEgSYwUSy/GGEBAAAAAA==@senderdomain.com>

ลองหาข้อมูลเกี่ยวกับ "Not delivering message with duplicate Message-ID" ที่เกียวข้องกับ Zimbra ว่าคืออะไร สรุปก็คือ Zimbra จะมีการ เก็บ Message-ID ของ Email แต่ละฉบับที่ส่งเข้ามาให้กับแต่ละ Account บน Zimbra ย้อนหลังไว้จำนวนหนึ่ง ซึ่งเมื่อ มี Email ใหม่เข้ามา Zimbra จะตรวจสอบ Message-ID ของ Email ใหม่เที่ยบกับ Message-id ที่เคยเก็บไว้ของ User นั้นๆ ซึ่งถ้าเจอว่า มี Message-ID ซ้ำ Zimbra ก็จะไม่ส่ง Email นี้ไปที่ inbox ของ User

Message-ID คืออะไร 

    เมื่ออ่านถึงตรงนี้ ผู้อ่านหลายท่านคงสงสัยว่า แล้ว Message-id นี้คืออะไร ขออธิบายง่ายๆ แล้วกันครับ ว่า Message-ID จะเหมือนหมายเลขประจำตัว ของ Email แต่ละฉบับ จะถูกสร้างตั้งแต่ต้นทางที่สร้าง Email ขึ้นมา เช่น Email Client (MS outlook , thunderbird, ...) หรือ ระบบ Webmail  โดย Message-ID นี้จะฝังอยู่ใน Email Header  เราสามารถหาดูได้โดยดูบรรทัดที่ขึ้นต้นด้วยคำว่า Message-ID: ใน Email Header ดังตัวอย่างตามรูป

จากรุป Message-ID ของ Email ในรูปคือ 5ec3add-be8b-c846-1c55-0fa33428aac1@xsidekick.com

ซึ่งโดยปกติ ค่าจะถูกสร้างมาโดยไม่ซ้ำกัน และไม่ซ้ำกับ Email อื่นๆ ด้วยครับ

ส่วนวิธีการดู  Email Header ของ Email ใน Zimbra โดยใช้ Web client ลองอ่านวิธีดูบทความนี้ดูนะครับ

นอกจากนี้ ใน /var/log/zimbra.log จะมีการเก็บ Message-ID ของ Email ทีี่มีการรับส่งด้วย ลองดูในตัวอย่าง log ที่ผมใส่ไว้ตอนต้นบทความก็ได้ จะเห็น Message-ID ของ Email นี้อยู่ด้วย และในไฟล์ /opt/zimbra/log/mailbox.log ที่บอกว่า เจอ duplicate Message-ID ก็จะมีการระบุ Message ID ที่เจอว่า Duplicate ไว้ด้วย

Microsoft Outlook ต้นเหตุของปัญหา

     เมื่อลองพยายามค้นหาข้อมูลต่อ ก็พบว่า มันคนเคยเจอปัญหานี้เหมือนกัน เค้าระบุว่า ต้นตอของปัญหานี้เกิดจากคนส่ง Email ใช้ Microsoft Outlook  เขียน Email และส่งออกมา ซึ่ง ตัว Outlook เองจะมีประเด็น (เท่าที่มีข้อมูลเป็น MS Outlook 2010) ที่ทำให้  Email  บางฉบับที่ส่งออก มี Message-ID ซ้ำกับ Email ที่เคยส่งออกมาแล้ว

โดยกรณีของผม  พบว่าสถานการณ์ที่ ทำให้ Outlook สร้าง Message-ID คือ

1) user_a@senderdomain.com ใช้งาน MS Outlook  ส่ง Email ฉบับหนึ่งให้ user_b@zimbradomain.com
2) หลังจากนั้น user_a@senderdomain.com ทำการเขียน Email อีกฉบับโดย Forward  จาก Email ในข้อ 1) ไปให้ user_b@zimbradomain.com ตามสถาณการณ์ ที่ได้เล่าไปตั้งแต่แรก 

ซึ่งในกรณีที่ผมเจอ พอสืบย้อนกลับไป พบว่า ก่อนหน้าที่จะเกิด Message-ID Duplication ใน Zimbra user_a@senderdomain.com ได้เคยส่ง Email ให้กับ user_b@zimbradomain.com จริงๆ และ หลังจากนั้น เค้าได้ Forward Email ที่เคยส่งไปแล้ว ให้กับ user_b@zimbradomain.com อีกครัั้ง แต่คราวนี้ CC: user_c@zimbradomain.com ด้วย

และถ้ากลับไปดูที่ Email header ทั้งสองฉบับ (ฉบับทีส่งครั้งแรก และ ฉบับที่ Forward ) เราจะเจอว่า

• Message-ID ซ้ำกัน
• แถมเจอร่องรอยอีกบรรทัดคือ  

X-Mailer: Microsoft Outlook 16.0

ซึ่งบรรทัดนี้ เป็นตัวบอกว่า Email ที่เกิดปัญหา ถูกส่งจาก MS Outlook จริงๆ แต่เป็น version  2016 (จุดนี้บอกพวกเราเป็นนัยๆ ว่าอาการแบบนี้มีใน MS Outlook หลายๆ version)

ปัญหาคือ ตกลงมันเป็น Bug ของ MS outlook จริงๆ หรือเป็นพฤติกรรมปกติของ Email Client ทั่วไป ผมเลยลองทดสอบส่ง Email โดยใช้ Thunderbird จำลองสถานการณ์แบบเดียวกัน ผลปรากฎว่า Message-ID ไม่ซ้ำ ทำให้คิดว่าน่าจะเป็น Bug ของ MS Outlook จริงๆ (ใครรู้จริงช่วยบอกหน่อย)

การแก้ไข

     ปัญหาอยู่ตรงนี้ครับ เพราะคนที่ส่ง Email ที่มี Message-ID ซ้ำนี้ เป็นคนนอกองค์กร จะไปบังคับเค้าให้ใช้ Email Client ยี่ห้ออื่น หรือลง Patch ของ MS Outlook ก็ลำบาก เราคงต้องมาหาทางแก้ปัญหากันที่ระบบ Zimbra ของเราเอง (แบบอ้อมๆ) ซึ่งก็โชคดีครับ พอจะทำได้

วิธีการก็คือ เราต้อง setup Zimbra ไม่ได้ทำการเช็ค Message-ID ซ้ำ โดย

ใช้คำสั่ง zmprov ที่ Linux command line แก้ไข config parameter ที่ชื่อ zimbraMessageIdDedupeCacheSize ให้เป็น 0 (ปกติ จะเป็น 3000)  ตามนี้

zmprov mcf zimbraMessageIdDedupeCacheSize 0 

คำสั่งนี้ ต้องเรียกใช้ในขณะที่เป็น Account ที่ชื่อ Zimbra บน Linux ซึ่งขั้นตอนดูตามบทความนี้ครับ

ซึ่งเราสามารถตรวจสอบได้ว่าค่า zimbraMessageIdDedupeCacheSize ถูก set เป็น 0 แล้วจริงๆ หรือเปล่าโดยใช้คำสั่ง

zmprov gcf zimbraMessageIdDedupeCacheSize

คำสั่งนี้จะแสดงค่า zimbraMessageIdDedupeCacheSize ที่ถูก set อยู่ ณ.ขณะนั้น

เสร็จแล้วทำการ Restart service ของ Zimbra ที่ชื่อ mailboxd เพื่อให้  Zimbra รับรู้ค่าที่เรา set ใหม่นี้ โดยใช้คำสั่ง

zmmailboxdctl restart

ตัวอย่างเช่น







ข้อควรระวังของการแก้ไขโดยใข้วิธีการนี้ 

      ตามที่ได้บอกไปว่าวิธีการแก้ไขนี้ เป็นการปิดระบบของ Zimbra ไม่ให้ตรวจสอบ Message-id ซ้ำ ดังนั้นเป็นไปได้ว่าหลังจากนี้ ผู้ใช้ระบบของเรา อาจจะเจอว่าได้รับ Email ซ้ำในระบบ ซึ่งส่วนใหญ๋ เกิดจากข้อผิดพลาดในระบบ Email ตั้งแต่ตั้นทางมาถึงปลายทางคือเครื่อง Zimbra ของเรา ดังนั้น ผู้ดูแลระบบควรจะต้องแจ้งให้ User หรือผู้ดูและระบบคนอื่นๆในองค์กรทราบด้วย

หวังว่าคงจะได้ประโยชน์ และสามารถนำความรู้จากบทความนี้ ไปแก้ไขปัญหา Zimbra กันนะครับ

อ้างอิง https://forums.zimbra.org/viewtopic.php?t=28155

วิธี download ข้อมูลรายชื่อ Account บน Zimbra ผ่านทาง Admin Console

หลายๆครั้งที่ผมได้รับคำถาม จากผู้ดูแลระบบ Zimbra ว่าอยากได้รายชื่อ ของ Account ที่มีอยู่ใน Zimbra ออกมา รวมถึงข้อมูลบางอย่าง ของแต่ละ Account เช่น ชื่อ นามสกุล ของ user หรือ Status (Active/Close) ของ Account  มีวิธีการ Export ออกมาอย่างไรได้บ้าง

ถ้าเป็นเมื่อก่อน คงต้องอาศัย Linux command line ร่วมกับกับการเขียนโปรแกรม แต่ใน Zimbra Version ใหม่ๆ เราสามารถ Export ออกมาได้เลย โดยมีขั้นตอนดังนี้ครับ

1) Login Admin Console  (https:// ... :7071)

2) ทำการค้นหารายชื่อที่เราต้องการสร้างรายงาน เช่น ผมต้องการ Account ทั้งหมดใน Domain ที่ชื่อ mydomain.com บนเครื่องผม โดย

   2.1)  ไปที่  Search bar  ที่อยู่ด้านบนสุดของหน้าจอ

   2.2) เลือก ชนิดของสิ่งที่ต้องการค้นหา ว่าต้องการ search หาอะไร (Account / Distribution List, Alias ...) โดยกดที่ปุ่มรูปสามเหลียมหลัง Icon เพื่อเปิดเมนู แล้วเลือกชนิดของสิ่งที่ต้องการค้นหา


 
   2.3) ป้อนคำที่ใช้ Search จากตัวอย่าง ผมป้อน mydomain.com   
    2.4) ทำการค้นหาโดยคลิ๊กที่รูปแว่นขยายท้าย search bar




เมื่อเสร็จขั้นตอนนี้ ผมจะได้รายชื่อ Email address  ใน mydomain.com พร้อมข้อมูลอื่นๆออกมาที่หน้าจอ ดังตัวอย่างตามรูป



3) ทำการ Export ข้อมูล ออกมาเป็น .csv  Ffp คลิ๊กไปที่ Icon รูปเฟืองเพื่อกางเมนู และเลือก Download

ขั้นตอนนี้ จะมีการ Download ไฟล์ ที่ชื่อ search_result.csv จาก web browser มาที่ Desktop ตามชื่อ Directory ที่ตั้งไว้



เปิดไฟล์นี้ด้วย โปรแกรม spreedsheet เช่น Excel หรือ LibreOffice Calc  โดยระบุให้ใช้เครื่องหมาย Comma เป็นตัวแบ่ง Field และ Character Set เป็น UTF-8



ซึ่งการระบุ เป็น UTF-8 จะแก้ปัญหาที่บางครั้งข้อมูลที่เป็นภาษาไทยพอ Convert จาก .csv ที่ได้มาแล้ว อ่านภาษาไทยไม่ออก

ถ้าทำทุกอย่างถูกต้อง เราจะเป็นข้อมูลที่เราได้ทำการค้นหา และ Export ออกมาเพื่อเอาไปใช้งานต่อ บนโปรแกรม spreadsheet  ได้แล้วครับ

Email Phishing เป้าหมายจู่โจมผู้ใช้ Zimbra มาอีกแล้ว

        ผมเคยเขียนบทความเกียวกับ Email Phishing ที่มีเป้าหมายจู่โจมผู้ใช้งาน  Zimbra  กันไปบ้างแล้ว  แต่ก็พบว่าก็ยังเจออยู่เรื่อยๆ ด้วยเทคนิคลูกเล่นเยอะกว่าแต่ก่อน คราวนี้ผมได้รับแจ้งจาก Line Group ที่ผมสร้างไว้เพื่อพูดคุยกับผู้เคยอบรม Zimbra  กับผม  คุณ KorLid (@Korlid)  ได้ส่งตัวอย่าง Phishing Email เป็นไฟล์ในรูปแบบ eml มาให้ผม ซึ่งผมได้ลองเปิดดูโดยใช้โปรแกรม Email Client ที่ใช้งานอยู่ เจอ Email หน้าตาแบบนี้ครับ

ตัวอย่างข้อความใน phishing Email

  Email ที่ว่า มีรายละเอียดที่น่าสนใจ ดังนี้ครับ 

• จ่าหน้าว่าถูกส่ง Email Address ที่ชื่อ domain เป็นของ  ISP  เจ้าดังรายหนึ่ง (ผมขอไม่เปิดเผยนามละกัน) ซึ่งทำให้ phishing email นี้มีความน่าเชื่อถือเพิ่มขึ้น 
• เนื้อ Email จะมีข้อความเป็นภาษาไทย บอกประมาณว่า ขนาด Mailbox (กล่องจดหมาย)  ใกล้เต็ม ให้ลบ Email ทิ้งไปบ้าง  อันนี้ดูแล้วมีเหตุผล
• ลงท้าย Email บอกให้ตรวจสอบบัญชีภายใน 24 ชั่วโมง แต่ถ้าไม่ทำ ต้องยืนยันบัญชี โดยการ click ที่ link  ข้อนี้นี้ไม่น่าจะใช่ละ 

ถ้าลอง click ไป จะเจอ website ให้เรากรอก User , Email , Password ตามรูป 

ถึงจุดนี้ หลายคนที่มีประสบการณ์ หรือเคยเป็นผู้ดูแลระบบ Zimbra ก็คงเริ่มเห็นข้อพิรุธหลายอย่าง ตามนี้ 

1.  Email ทำให้ Mailbox เต็ม ทำไมต้องยืนยันตัวตนด้วย อย่างมาก user คนนั้นๆ ก็แค่รับ Email ใหม่ๆ ไม่ได้  อยากให้รับ Email ใหม่ๆ ได้ ก็ ไปที่ Zimbra Web Client ที่เคยใช้งานกัน  ทำการ Login เสร้จแล้วก็ลบ Email เก่าๆ ทิ้งก็เรียบร้อย 
2. เมื่อกดที่ link   website ที่แสดงขึ้นมาตามรูป จะเห็น url แปลกๆ  ไม่ใช่ domain ขององค์กรเรา ไม่ใช้ domain ของ Zimbra
3. ผมได้ลองกรอกข้อมูล พบว่ามีจุดที่ผิดปกติอีกอย่างคือ เวลากรอกในช่อง  PASSWORD และ CONFIRM PASSWORD   ตัวอักษรที่พิมพ์เข้าไปไม่มีการปิดบังอะไรเลย แทนที่เวลากรอก เราไม่ควรมองไม่เห็นตัวอักษรที่เราพิมพ์ แต่เห็นเป็น *  แทน ซึ่งกรณีนี้ พิมพ์อะไรก็ขึ้นมาตามตัวอักษรที่ิพิมพ์  

สังเกตุถึงตรงนี้ แน่นอกครับเป็น phishing email แน่นอน

จะส่ง Phishing Email หลอกเราไม่ทำไม 

    จากรูปด้านบน เค้าจะหลอกเอาข้อมูล ชื่อ นามสกุล Email address พร้อมทั้ง password จากเราไป คำถามก็คือ เอาไปแล้วได้อะไร เท่าที่เคยเจอมา เค้าจะทำเพื่อ 

• เอาข้อมูลนี้ มา hack account ของเราบน Zimbra  และใช้ประโยชน์จาก account ของเราในการส่ง Spam ขายของ 
• ใช้ Account ของเราที่ถูก hack ได้แล้วนี้เป็นต้นทางในการส่ง Phishing Email ไปยัง User อื่นๆ ที่อยู่ใน email domain เดียวกันกับของเรา หรือ Email address อื่นๆ ที่เราเคยพูดคุย ต่อไปอีก  
• ส่ง email ไปยังคู่ค้าเราโดยดูจาก Email ที่เคยรับและส่ง หลอกว่าถ้ามีการค้าขายกัน ให้โอนเงินเข้าบัญชีของ hacker แทนบัญชีเดิม อันนี้น่ากลัว โดยกันที่เสียหายเป็นหลักล้านบาทก็เคยได้ยิน และไม่ค่อยเป็นข่าว เพราะเสียหน้า เสียชื่อด้วย 

แจ้งเตือนไว้ให้ทราบนะครับ สำหรับผู้ดูและระบบ แจ้งเตือนผู้ใช้หรือ user ในองค์กรกันไว้ด้วยนะครับ 

ศิวัฒน์ ศิวะบวร

อันตราย เตือนภัยช่องโหว่ด้านความปลอดภัยของ Zimbra (CVE-2016-9924, CVE-2018-20160, CVE-2019-9670)

อันตราย เตือนภัยช่องโหว่ด้านความปลอดภัยของ Zimbra (CVE-2016-9924, CVE-2018-20160, CVE-2019-9670)

ประมาณต้นเดิือน พฤษภาคมที่ผ่านมา ผมได้รับข้อความผ่านทาง Facebook Fanpage ของ Thai Zimbra  จาก คุณ Mana Saringkanratana‎ ว่ามีการพบ ช่องโหว่ด้านความปลอดภัย ของ Zimbra สามตัว คือ  CVE-2016-9924, CVE-2018-20160, CVE-2019-9670  ซึ่ง hacker สามารถใช้ช่องโหว่ทั้งสามตัวนี้ประกอบกัน  เป็นช่องทางเรียกใช้คำสั่ง ของ Linux บนเครื่อง Zimbra ได้ (ศัพท์เทคนิคเรียกว่า Remote Code Execution)  ซึ่งทำให้ผมต้องลองหาข้อมูลดูว่าร้ายแรงแค่ไหน อาการเป็นอย่างไร และป้องกันอย่างไร

เท่าที่พบ มีหลาย  web site ที่พูดถึง ซึ่งถ้าสนใจเชิงลึก ลองไปศึกษาดูกันเองละกันครับ ดูได้ตาม website อ้างอิงท้ายบทความ

Version  ของ Zimbra  ที่มีปัญหา 
 เท่าที่มีการรายงาน จะเกิดขึ้นกับ Zimbra Version 8.5 ถึง 8.7.11  โดยจะเกิดกับเครื่องที่มีการเปิด Port 80 หรือ 443 เพื่อให้มีการใช้  web client ของ Zimbra จาก Network ภายนอกได้ ซึ่งก็เปิดกันเป็นปกติอยู่แล้ว แปลว่า Zimbra version ข้างต้นไม่ปลอดภัย

อาการ
ถ้าถามผม โดน Remote Code Execution ไปเนี่ย โดนเจาะไปถึงระดับ Linux เรียกว่าทำอะไรได้เกือบทุกอย่างเลยครับ ถ้าให้ดี  คงต้องมีการตรวจสอบไปถึงระดับ Linux เลยว่ามีโปรแกรมแปลกปลอมอะไรถูกฝังไว้ หรือ มีโปรแกรมแปลกๆ อะไรทำงานอยู่หรือเปล่า
อาการของเครื่องที่โดน hack นี้ เท่าที่มีรายงาน และที่ผมเจอ จะมีอาการเป็นสามกลุ่มใหญ่ๆ คือ

1)  Zimbra ไม่ทำงานหรือทำงานผิดพลาด เช่น Start เสร็จแล้ว ตาย Restart แล้วก็ตาย

2)   Zimbra ดูเหมือนทำงานปกติดี แต่มีการฝังโปรแกรม บน Linux และเรียกโปรแกรมนี้ขึ้นมาทำงาน โดย โปรแกรมที่เจอว่ามีการฝังไว้ คือ
2.1 /tmp/zmcat,  /var/tmp/zcat , /tmp/l.sh, /tmp/s.sh 
 พวกนี้จะเป็น โปรแกรมที่ hacker  เอามาวางไว้ ถึงแม้จะชื่อเหมือนหรือคล้ายกับ คำสั่งของ zimbra  ก็ตาม แต่ปกติ ไม่น่าจะมี คำสั่งมาอยุ่ที่  /tmp หรือ /var/tmp
2.2 /opt/zimbra/log/zmswatch
ซึ่งถ้าใช้คำสั้ง file  ตรวจสอบดูไฟล์นี้ จะพบว่าเป็นคำสั่งทีเรียกใช้งานได้ (executable)  ซึ่งผิด ปกติครับ  ตัวอย่างเช่น

[zimbra@zimbra log]$ file /opt/zimbra/log/zmswatch zmswatch: ELF 64-bit LSB executable, x86-64, version 1 (GNU/Linux), statically linked, stripped

ปกติแล้วใน /opt/zimbra/log จะเก็บ log file ของ Zimbra ซึ่งเป็น Text ไฟล์ หรือไม่ก็เป็น log file ที่ถุก zip ไว้ (ไฟล์ลงท้ายด้วย .gz)  ไม่ควรจะมีคำสั่งใดๆมาเก็บไว้ที่ directory นี้

3) มีแอบสร้าง การสร้าง Account ของ Zimbra ขึ้นมา  อันนี้ต้องลองไล่ดูเองนะครับ ถ้าเห็นมี account บน Zimbra  ชื่อแปลกๆ ละก็ตรวจสอบให้ดีๆ ว่าเป็นของ Zimbra  หรือของคนในองค์กรหรือเปล่า

การปิดช่องโหว่ 
จากข้อมูลที่หามา มีสองวิธีที่พวกเราน่าจะพอทำกันได้ครับ
วิธีแรก คือ Upgrade เป็น Version 8.7.11 หรือ 8.8.x ครับ  ซึ่งถ้าจะใช้การ Upgrade มีคำแนะนำอยู่สองข้อ คือ Backup ของเดิมไว้กันเหนียว และ ทดลองที่ระบบ Test ก่อนทำที่เครื่องจริงหรือที่เราเรียกว่าระบบ Production  ที่ต้องทำแบบนี้เพราะเคยมีประวัติว่ามีคน Upgrade Zimbra ที่เครื่อง Production พอทำเสร้จแล้วเจอว่า Zimbra ทำงานผิดพลาด เรื่องนี้อย่าชะล่าใจนะครับ บางที่การ Upgrade จากต้นทาง Version เดียวกัน ไปเป็น Version ใหม่เดียวกัน เครือง A ไม่มีปัญหาแต่เครื่อง      B มีปัญหา ก็เจอมาแล้ว


วิธีที่สอง สำหรับ zimbra version ตั้งแต่  8.5 แก้ไขไฟล์ ปิดช่องโหว่ซะ โดยแก้ไขไฟล์ที่ชื่อ /opt/zimbra/mailboxd/etc/service.web.xml.in  (อย่าลืม copy  ไฟล์ดั้งเดิมเก็บไว้ด้วยนะครับ กันเหนียว )
ขั้นตอนก็คือ เปิดไฟล์ที่ว่านี้ขึ้นมาหาบรรทัด ทีมีคำว่า ProxyServlet กับบรรทัดที่มีคำว่า   AutoDiscoveryServlet 

...
<servlet-name>ProxyServlet</servlet-name>
    <servlet-class>com.zimbra.cs.zimlet.ProxyServlet</servlet-class>
    <async-supported>true</async-supported>
    <init-param>
      <param-name>allowed.ports</param-name>
      <param-value>%%zimbraMailPort%%, %%zimbraMailSSLPort%%, 7070</param-value>
...
 <servlet-name>AutoDiscoverServlet</servlet-name>
    <servlet-class>com.zimbra.cs.service.AutoDiscoverServlet</servlet-class>
    <async-supported>true</async-supported>
    <init-param>
      <param-name>allowed.ports</param-name>
      <param-value>%%zimbraMailPort%%, %%zimbraMailSSLPort%%, %%zimbraAdminPort%%, 7070, 7443</param-value>
    </init-param>
...

ซึ่งใน Tag ทั้งสองอันนี้ ให้ดูที่บรรทัด  <param-value> ให้หาคำว่าคำว่า %%zimbraMailPort%%, %%zimbraMailSSLPort%%,

 แล้วลบออก  ผลลัพท์จะได้ตามนี้ครับ

  <servlet>
    <servlet-name>ProxyServlet</servlet-name>
    <servlet-class>com.zimbra.cs.zimlet.ProxyServlet</servlet-class>
    <async-supported>true</async-supported>
    <init-param>
      <param-name>allowed.ports</param-name>
      <param-value>7070</param-value>
    </init-param>
    <load-on-startup>8</load-on-startup>
  </servlet>
...
  <servlet>
    <servlet-name>AutoDiscoverServlet</servlet-name>
    <servlet-class>com.zimbra.cs.service.AutoDiscoverServlet</servlet-class>
    <async-supported>true</async-supported>
    <init-param>
      <param-name>allowed.ports</param-name>
      <param-value>%%zimbraAdminPort%%, 7070, 7443</param-value>
    </init-param>
    <load-on-startup>12</load-on-startup>
  </servlet>

เสร้จแล้ว save file และทำการ restart zimbra สักรอบเป็นอันเสร็จ

วิธีนี้อาจจะดูซับซ้อนไปหน่อย แต่ก็สะดวกดีเพราะแก้ไขแค่สองไฟล์ก็จบแล้ว

ถ้ามีข้อมูลหรือเจออะไรแปลกๆ ที่น่าจะเป็นผลจากช่องโหว่ด้านความปลอดภัยของ Zimbra ชุดนี้ ส่งข้อมูลมา update กันหน่อยนะครับ


website อ้างอิง 
https://portswigger.net/daily-swig/multiple-rce-vulnerabilities-impact-all-versions-of-zimbra-email-software
https://lorenzo.mile.si/zimbra-cve-2019-9670-being-actively-exploited-how-to-clean-the-zmcat-infection/961/
https://blog.tint0.com/2019/03/a-saga-of-code-executions-on-zimbra.html
https://forums.zimbra.org/viewtopic.php?t=66005

ทำยังไงให้ส่ง Email ที่ใหญ่กว่า 7 MB บน Zimbra ได้

ปัญหาของผู้ใช้ Zimbra ที่เจอกันบ่อยๆ คือ พยายามจะ Attach file ที่มีขนาดใหญ่  หรือ ขนาดโดยรวมของ Attach file มีขนาดใหญ่ แล้ว Zimbra ไม่ยอม  ขึ้น error ประมาณว่า

“Attachment failed since the item would exceed the size limit of  N MB”

ถ้าอยากจะเพิ่ม limit หรือข้อจำกัดให้สามารถ Attach file ขนาดใหญ่ๆ บน Zimbra ได้จะทำอย่างไร

วิธีการปรับแต่ง 

ที่จริงเราสามารถปรับค่า parameter ที่จำกัดขนาดของ attach file บน Zimbra ได้ครับ แต่ต้องอาศัย Account ของผู้ดูแลระบบ (Account ผู้ใช้งานธรรมดาของ Zimbra ไม่มีสิทธินะครับ) โดย Login ไปที่ web GUI  ป้อน URL https://zimbra_hostname:7071 โดยแทนที่ zimbra_hostname ด้วย IP Address หรือ Hostname ของ zimbra 

โดย parameter ที่ต้องปรับแก้ มีสองจุดครับ 

1) ปรับค่า Max Upload File Size 

จุดแรกที่เราต้องปรับคือ Max Upload File Size หรือขนาดที่ใหญ่ที่สุดของไฟล์ที่ Upload ขึ้นไปที่ Zimbra ได้ โดยไปที่ 

Configure >> Global Settings  

ที่หัวข้อ General Information  ดูที่บรรทัด 

Maximum size of a file uploaded from the desktop (KB) 

ปรับค่า Max Upload File Size 

ค่านี้เป็นตัวกำหนดขนาดที่ใหญ่ที่สุดของไฟล์ 1 ไฟล์ (หน่วยเป็น KB) ทีสามารถ Upload ไปที่ Zimbra ได้ ซึ่งการ attach file ก็ถือว่าเป็นการ upload ไฟล์ขึ้นไปที่ Zimbra อย่างหนึ่งครับ Default อยู่ที่ประมาณ 10 MB แต่จริงๆ ได้ไม่ถึงหรอกครับ เดี๋ยวไว้บอกที่หลัง ว่าทำไมไม่ได้ 

หลังจากปรับค่าตามที่ต้องการไปแล้ว ก็กดปุ่ม save ด้วยครับ 

2) ปรับค่า Maximum Message Size 

หลังจากผ่านขั้นตอนดังกล่าวแล้ว ยังไม่จบนะครับ เรามี parameter ที่ต้องปรับอีกที่หนึ่ง คือค่า Maximum Message Size

วิธีการ ไปที่ Configure >> Global Settings  >> MTA  >> 

ที่หัวข้อ Messages  หา parameter บรรทัด Maximum messages size(KB) 

การปรับค่า Maximum message size

ค่านี้ เป็นค่าที่กำหนดขนาดที่ใหญ่ที่สุดของ Email 1 ฉบับ ที่ส่งได้ในระบบ ซึ่งค่านี้จะเป็นกำหนดขนาดของ Email ทั้งหมด ซึ่งรวม เนื้อ email + email header + attach file ทั้งหมดครับ ค่าที่ระบุ หน่วยเป็น KB (Kilobyte) 

ปรับแก้แล้ว อย่าลืม save ด้วยนะครับ 

ปัญหาของการกำหนดค่า 

สำหรับคนที่เคยเจอกับปัญหานี้ ถ้าลองสังเกตุดีๆ จะเห็นนะครับ ว่าค่า default ของ  parameter ทั้งสองตัว คือ 10Mb  แต่เวลา attach file จริงๆ ได้ไม่เกิน 7Mb  ?

ที่เป็นแบบนี้ ไม่แน่ใจว่าเป็น Bug ของ Zimbra v8.x หรือเปล่า แต่ก็เป็นปัญหาที่เกิดขึ้นจริงๆครับ ว่าขนาดที่ zimbra อนุญาต จะเล็กกว่าค่าที่เราระบุที่ parameter ทั้งสองตัว วิธีแก้ปัญหาแบบอ้อมๆ ของผมก็คือ ระบุค่าทั้งสองจุดนี้ ให้มากกว่าค่าจริงๆ ที่เราต้องการจริงๆ สักหนึ่งในสาม เช่น ต้องการ 10MB  ผมจะระบุค่าเป็น  13 หรือ 14 MB ครับ 

หวังว่าจะได้ความรู้เพิ่มเติมไปใช้งาน หรือแก้ปัญหากันนะครับ 

เตือนภัย Email ล่อลวง จู่โจมผู้ใช้ Zimbra โดยเฉพาะ

 ผมได้รับ email ฉบับนี้มาจากลูกค้าของผมเอง คนไม่รู้เป็นดูผ่านๆ เหมือนกับ เป็น Email  ที่ส่งจากระบบ Zimbra เป็น email หลอกให้เราไปป้อนข้อมูลการ Login ระบบ Zimbra ของเรา เพื่อจะเอา ข้อมูลย้อนกลับมาเจาะระบบเรา หน้าตา Email ประมาณนี้ครับ  แปลเป็นไทยด้วย  เห็นบอกว่ามี version เป็นภาษาอังกฤษด้วยนะ 

แต่ถ้าดูดีๆ จะเห็นว่ามีจุดผิดปกติหลายอย่างครับ  

 1)ส่งมาจาก @msn.com  ... ส่งมาจากคู่แข่งกัน Zimbra เลยเนี่ยนะ 

 2) Email postmaste@msn.com  ไม่มีครับ ปกติจะเป็น postmaster@msn.com ต่อให้ email ถูกmsn ก็ไม่มีธุระอะไรกับ Zimbra อยู่แล้ว  

3) ปลายทางเป็น postmaste@msn.com ไม่ใช่ Email Address  ของเรา

4) URL ใน Email (http://validate-your-accout.......ng ) ชี้ไป  domain อะไร อยู่ที่ประเทศไหนก็ไม่รู้  ไม่เกี่ยวอะไรกับ องค์กรเรา และ Zimbra เลย 

 5) ถ้าจะซ่อมบำรุง server หรือเช็คว่า Account เราบน Zimbra มีการใช้งานหรือเปล่า ไม่จำเป็นต้องขอ User ครับ Admin ของ Zimbra สามารถดูได้เลยจากหน้าจอ Admin Cnosole

 จุดประสงค์ของผู้ไม่หวังดี คือต้องการให้เราคลิกหรือเรียก URL ที่แนบมา  

 ถ้าคุณเจอแบบนี้ อย่าคลิ๊กที่ URL นะครับ ดีไม่ได้อาจจะเป็น URL ที่ใช้ Download Ransomware  มาก็ได้ เราเตือนท่านแล้วนะ  

 

 แต่สำหรับผม....ไม่กลัว  มาลองดูกันซะหน่อย เดี๋ยวจะหาว่าไม่แน่จริง 

  พอลองคลิกที่ URL เครื่องคอมพิวเตอร์ของเรา จะเปิด Web browser และไปที่หน้าจอนี้ 

ฮั่นแน่ หน้าจอคล้ายๆ หน้าจอ Login ของ Zimbra เลยนะครับ มี Copyright ของ Zimbra ด้านล่างด้วย 

 ถ้ามี User ในองค์กรสักคน เผลอไปให้ข้อมูลการ login ที่  URL นี้เข้า  รับรอง Account บน Zimbra โดน Hack แน่นอน 

 - ระดับเบา ก็แค่ เอา Account เรา ไปส่ง Spam  เครื่องจะอืดๆ ช้าๆ อาการที่พอสังเกตุได้คือ จะเริ่มส่ง Email ไป free email เช่น Gmail Hotmail ไม่ออก เพราะทาง Gmail หรือ Hotmail เค้าเห็นว่าเราส่ง Spam เลย ปฏิเสธ Email ที่ส่งจาก เครื่อง Zimbra ของเรา 

 - ระดับรุนแรง  จะขโมยข้อมูลของเรา และคนที่เราติดต่อด้วยไป เพื่อใช้ในการส่ง phishing Email หลอกให้โอนเงิน อะไรทำนองนี้ อย่าดูถูกนะครับ ถึงแม้เป็นเรื่องเก่า แต่ก็ยัง มีบริษัทในไทยหลายรายที่โดนเสียหายเป็นล้านก็มี 

บางคนโชคดี โดนทั้งสองอย่างเลย สองเด้ง hacker (ไม่ใช่เจ้ามือ) กินรวบ 

 ช่วยส่งข้อมูลนี้ต่อกันไป และกระจายกันให้มากที่สุดนะครับ จะได้ไม่เป็นเหยื่อของผู้ไม่หวังดี 

 

 ศิวัฒน์ ศิวะบวร 

   

Zimbra (โดน) Hack 2016 (ตอนที่ 2)

ในบทความครั้งที่แล้ว เรื่อง Zimbra โดน Hack 2016 (ตอนที่ 1) ผมได้เขียนถึงการเจาะระบบ Email Server แบบเดิมๆ แต่อย่างที่บอกครับ หลังจากที่ผมได้ติดตามกระบวนการ Brute force เพื่อพยายาม Hack account Zimbra (และ Email Server) มาหลายปี เห็นการเปลี่ยนแปลงรูปแบบ จนในปัจจุบันมีวิวัฒนาการ ที่ทำให้การป้องกันและการตรวจจับยากยิ่งขึ้น  เราจะมาพูดถึงเรื่องนี้ต่อกันครับ

Brute Force แบบใหม่ 
รูปแบบของการเจาะระบบ ที่พัฒนาไป มีดังนี้ครับ

1) พยายาม Hack โดยใช้วิธีการ Login เข้ามาทาง port 25,  465 หรือ 587 (smtp authentication)
ช่องทางนี้ เป็นช่องทางที่ป้องกันได้ยาก เพราะเป็น Port ที่ Email Server ทุกเครื่องต้องเปิดไว้เพื่อรับ Email จากภายนอก หรือ ผู้ใข้ในองค์กร แต่ส่ง email จากภายนอก

2) ต้นทางในการ hack จะมาจากหลายๆ IP Address จากหลายๆประเทศ สลับกันไปมา ตัวอย่างเช่น

3) เป้าหมายการ Brute Force จะทำกับ Account หลายๆ Account สลับกันไป เช่น พยายาม login   user1@mydomain 1-5 ครั้ง ถ้าไม่ได้ จะเปลี่ยนเป้าหมายเป็น Account อื่นๆ  user2@mydomain.com และ user3@mydomain.com ไปเรื่อยๆ

4) การ Brute Force จะทำในช่วงเวลาห่างๆ กัน เช่นประมาณ 20 วินาที จะทำแค่ 1 ครั้ง

5) ถ้ามี Account ถูกเดา password ได้ Hacker จะใช้ Account พวกนี้ส่ง spam โดยใช้วิธีส่ง มาให้
เครื่อง Zimbra เราส่งต่อ (Relay) โดยเครื่องต้นทางจะมาจากหลายๆ เครื่อง สลับกันไปมา

พฤติกรรมในข้อ 2-5  ผมวิเคราะว่า Hacker พยายามหลีกเลี่ยง การตรวจจับและ block การ hack โดยใช้โปรแกรมที่ตรวจสอบรูปแบบการ hack เช่น fail2ban ซึ่งผู้ดูแลระบบบางท่านติดตั้งไว้ ซึ่งข้อเสียของวิธีนี้คือ hacker สามารถจะปรับเปลียนรูปแบบการ hack ไปเรื่อยๆ ซึ่ง fail2ban ดักจับไม่ได้ ซึ่งเป็นเรื่องที่คาดเดาได้อยู่แล้ว แต่ผมไม่คิดมาก่อนว่า Hacker จะพยายามปรับรูปแบบเพีอหลีกเลี่ยงการตรวจจับได้เร็วขนาดนี้

6) Spam Email จะค่อยๆถูกส่งออก ไม่ถูกถล่มส่งเหมือนเมื่อก่อน และจะกระจาย Domain เป้าหมาย

ที่ผมเจอ อัตราการส่งจะต่ำมาก เช่น 20 Email  ต่อ Domain ต่อวัน ซึ่งพฤติกรรมใกล้เคียงกับการส่ง Email ของ User ปกติ  เรียกว่าถ้าผู้ดูแลไม่สังเกตุเห็นว่าเป็น Domain ที่คนในองค์กรไม่น่าจะติดต่อด้วย ก็แทบจะไม่รู้เลย

7) Spam  Email ที่ถูกส่งออกแต่ละฉบับจะระบุผู้รับแค่คนเดียวแทนที่จะระบุที่ละหลายๆคนต่อ spam mail หนึ่งฉบับ

ส่วนพฤติกรรมที่เปลี่ยนไปในข้อ  6 และ 7   ทำให้ระบบที่ถูก hack ส่ง spam ได้เนียนจนผู้ดูและระบบไม่รู้ตัว และไม่สังเกตุเห็นความผิดปกติ

8) เป้าหมายของ spam Email จะหลีกเลี่ยงผู้บริการ Free Email เจ้าดังๆ เช่น Gmail, Hotmail, Yahoo

สาเหตุในข้อนี้ ผมคาดว่าเพราะระบบตรวจจับ  Spam ของ Free Email เจ้าดังและมีประสิทธิภาพ สามารถตรวจสอบและแยกแยะพฤติกรรมของการส่ง Spam ได้รวดเร็ว และหลายๆครั้ง ถึงแม้ Spam Email ส่งไปถึง Account เป้าหมาย โอกาสที่ spam จะไปอยู่ใน Spam หรือ Junk Folder มีสูง และโอกาสที่ Email Server ที่ถูก Hack มาได้จะถูก  Block  เพราะมีพฤติกรรมส่งสัยว่าส่ง Spam ออกมา ก็เป็นไปได้อีกเช่น

ซึ่งถ้า Email Server ถูก block จะเกิดความผิดปกติขึ้นในระบบ Email Server ที่ส่ง Spam  ออกไป จะทำให้ผู้ดูและระบบรู้ตัว Hacker เลยพยายามหลีกเลี่ยง

เท่าที่ผมเคยให้คำปรึกษาและแก้ปัญหาเรื่อง Zimbra ถูก hack ในช่วงสองสามปีที่ผ่านมาทาง  Thai Zimbra Facebook Fanpage  พบว่าส่วนใหญ่จะรู้ตัวกันตอนที่ส่ง  Email ไม่ออก เนื่องจาก Mail Server ปลายทางปฏิเสธการรับ Email จาก Zimbra ซึ่งโดน Hack กลายเป็นเครื่องส่ง Spam ไปเรียบร้อยแล้ว


ป้องกันและตรวจสอบได้อย่างไร 

ในกรณีของ Zimbra ทำได้ดังนี้ครับ
1)  กำหนด Password Policy กับ Failed Login Policy รายละเอียดอยู่ในบทความที่ผมเคยเขียนไว้แล้ว ตามนี้ครับ
http://thaizimbra.blogspot.com/2013/03/zimbra-tips-and-technique-7-password.html
http://thaizimbra.blogspot.com/2013/03/zimbra-tip-and-technique-8-password.html
http://thaizimbra.blogspot.com/2013/03/zimbra-tips-and-technique-9-password.html
http://thaizimbra.blogspot.com/2013/04/zimbra-tip-and-technique-10-failed.html
ลองอ่านดูนะครับ

2) หมั่นดู Daily Mail Report ที่ส่งจากระบบ Zimbra ไปให้ admin account  ทุกวัน
Email นี้จะมี Subject  เป็น Daily Mail Report for yyyy-mm-dd   ซึ่ง Email นี้จะสรุปการรับส่ง Email และ Error ที่เกิดขึ้น ซึ่งจะทำให้เห็นพฤติกรรมที่อาจผิดแปลกไป

3) หมั่นคอยตรวจสอบ log file ของ Zimbra  /var/log/zimbra.log และ /opt/zimbra/log/audit.log ว่ามีความพยายาม login มาจาก IP address หรือ host ที่ User ในระบบไม่น่าจะ login เข้ามา เช่นต่างประเทศหรือไม่

มาถึงตรงนี้ ผมอยากบอกกับผู้อ่านทุกท่านว่า Zimbra เป็นระบบที่ดีระบบหนึ่งนะครับ แต่ที่เห็นว่าถูก hack กันได้ เป็นเพราะความไม่รู้หรือไม่ระวังของผู้ติดตั้งหรือผู้ดูและระบบ  และการ Hack ระบบ Email Server  นั้นไม่ได้เกิดขึ้นแต่เฉพาะกับ Zimbra นะครับ  Email Server ทุกเครื่องเป็นเป้าหมายหมด ทุกครั้งเวลามีคนมาปรึกษาผมเรื่องเกี่ยวกับระบบโดน Hack ผมมักจะบอกว่า ถ้าคุณตั้ง Mail  Server และเปิดรับ Email จากภายนอกเมื่อไหร่ คุณก็กลายเป็นเป้าของการถูก hack  ทันที เพียงแต่จะโดน hack สำเร็จหรือไม่ โดย hack แล้ว รู้ตัวหรือเปล่า และสุดท้าย แก้ไขได้ไหม

ถ้าสงสัยว่าระบบ Zimbra ที่คุณดูแลอยู่ ว่าจะถูก hack และกลายเป็นเครื่องส่ง Spam  ติดต่อผมได้ทาง Thai Zimbra Facebook Fanpage ครับ