Si bien esto no está muy bien documentado, jspawnhelper se puede ejecutar como resultado de una llamada a ProcessBuilder.start() o Runtime.exec() en una aplicación Java. OpenJDK proporciona jspawnhelper y Java mismo decide cuándo usará o no jspawnhelper.

Zimbra tiene muchas aplicaciones de línea de comandos que le permiten configurar, controlar y aprovisionar su servidor de correo electrónico. Un ejemplo de uso legítimo de jspawnhelper es zmprovla utilidad de línea de comandos para aprovisionar cuentas en Zimbra.

Por ejemplo, si desea eliminar varias cuentas, puede ejecutar:

Si ejecuta estos comandos, cada uno de estos comandos puede tardar hasta 20 segundos en completarse. No es un gran problema si solo necesita eliminar 3 cuentas, pero si necesita eliminar 100 o 10000 cuentas, será muy lento. Una solución para esto es llamar solo zmprovuna vez y canalizar los argumentos a zmprov. Puede hacerlo creando un archivo /tmp/listofaccountscon el siguiente contenido:

Luego puede ejecutar zmprov solo una vez usando:

Eliminar 3 cuentas lleva aproximadamente la misma cantidad de tiempo que eliminar solo una cuenta. Y aunque no lo notaste, en segundo plano, zmprov puede haber llamado jspawnhelper.

Si su escáner de seguridad le alerta sobre el uso malicioso de jspawnhelper en Zimbra, es importante observar los argumentos que se utilizan con jspawnhelper. Un ejemplo de uso legítimo:

Algunos ejemplos de uso sospechoso:

Si realiza una búsqueda en Google de unix_chkpwd (o escalada de privilegios de unix_chkpwd ), encontrará que los argumentos en el ejemplo anterior no tienen sentido, ya que unix_chkpwd solo puede verificar el vencimiento de la contraseña de la cuenta actual, agregar zimbrao rootcomo argumentos no tiene sentido . El comando sa1 se utiliza para registrar las estadísticas de contabilidad del sistema . Zimbra no ejecutará el comando sa1 de fábrica, ni Zimbra instalará el paquete que proporciona sa1.

Cuando implemente Zimbra, se recomienda configurar el Registro centralizado, preferiblemente con Elastic Stack. Esto le permitirá recopilar registros de línea de base de su sistema. De esta forma, puede comparar el registro actual con los registros históricos y analizar el uso de jspawnhelper. Consulte: https://github.com/Zimbra/elastic-stack . Además, eche un vistazo a https://wiki.zimbra.com/wiki/Secopstips .

Si no está seguro de si el uso de jspawnhelper en su instalación es malicioso o no, puede (bajo su propio riesgo) cambiar los permisos de jspawnhelper. Los permisos predeterminados se ven así:

Para eliminar todos los permisos, puede ejecutar:

Ahora, cada vez que se llame a jspawnhelper, fallará. Luego puede probar y ver qué funcionalidad se ve afectada y verificar sus registros en busca de errores. Un ejemplo de falla reportada en la línea de comando:

Para restaurar el permiso puedes ejecutar: