CVE 데이터베이스CVE-2019-9621

최종 갱신 2026-06-17English Advisory →

CVE-2019-96217.5/HIGHCISA KEV 등재CWE-918CWE-918

Zimbra Collaboration Suite ProxyServlet 서버 측 요청 위조(SSRF) 취약점 (CVE-2019-9621) 분석 및 대응 가이드

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

synacor, zimbra

대상 컴포넌트 / 패키지

zimbra_collaboration_suite

권고문 발행일

2019-04-30

CVSS v3.1

7.5

HIGH

30일 악용확률

81.0%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Zimbra Collaboration Suite 8.6 Patch 13 미만, 8.7.x (8.7.11 Patch 10 미만), 8.8.x (8.8.10 Patch 7 및 8.8.11 Patch 3 미만) 버전

파급 효과

인증되지 않은 원격 공격자가 ProxyServlet을 통해 내부 네트워크 자원에 접근하거나, 타 취약점(XXE 등)과 연계하여 관리자 자격 증명 탈취 및 원격 코드 실행(RCE)을 유도할 수 있습니다.

권장 조치

사용 중인 Zimbra 버전에 맞는 최신 공식 보안 패치를 즉시 적용하고, 외부로부터의 ProxyServlet 접근을 제한하십시오.

영향받는 제품 및 버전 범위

Zimbra Collaboration Suite (ZCS) 8.6 Patch 13 미만, 8.7.x ~ 8.7.11 Patch 10 미만, 8.8.x ~ 8.8.10 Patch 7 미만, 8.8.11 ~ 8.8.11 Patch 3 미만

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Zimbra 공식 패치 저장소를 업데이트하고 최신 패치 버전을 적용합니다. 아래 명령어는 RedHat/CentOS 계열 기준입니다.

bash

# Zimbra 패키지 저장소 업데이트 및 패치 적용
yum clean all
yum update zimbra-patch -y

# Zimbra 서비스 재시작을 통한 패치 적용 완료
su - zimbra -c 'zmcontrol restart'

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

패치 적용이 즉시 어려운 경우, Nginx 리버스 프록시 또는 방화벽 설정을 통해 외부에서 ProxyServlet 및 관리자 포트로 향하는 비정상적인 요청을 차단해야 합니다.

nginx

# /etc/nginx/conf.d/zimbra_block.conf 또는 zimbra nginx 템플릿 파일 수정
# 외부망에서 ProxyServlet(/service/proxy)에 대한 직접적인 접근 제한 설정 예시
location /service/proxy {
    allow 127.0.0.1;
    allow 10.0.0.0/8; # 내부 신뢰 네트워크 대역
    deny all;
}

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

Zimbra 메일박스 로그에서 ProxyServlet을 경유하여 로컬호스트(127.0.0.1) 또는 관리 포트(7071)로 접근을 시도한 비정상적인 요청 흔적을 탐지합니다.

bash

# mailbox.log에서 ProxyServlet을 통한 로컬호스트/관리포트 접근 시도 검색
grep -i 'ProxyServlet' /opt/zimbra/log/mailbox.log | grep -E '(127.0.0.1|localhost|7071)'

# 현재 설치된 Zimbra 버전 및 패치 레벨 확인
su - zimbra -c 'zmcontrol -v'

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

CISA KEV에 등재되어 실제 공격에 악용된 취약점이므로, 즉시 Zimbra 버전을 확인하고 최신 보안 패치를 적용하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2019-9621)은 Zimbra Collaboration Suite(ZCS)의 ProxyServlet 구성 요소에서 발생하는 서버 측 요청 위조(SSRF, CWE-918) 취약점입니다. ProxyServlet은 외부 또는 내부의 다른 서비스로 요청을 중계하는 역할을 수행하지만, 입력값에 대한 검증이 미흡하여 공격자가 임의의 대상 주소로 HTTP 요청을 위조하여 전송할 수 있도록 허용합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 인증을 거치지 않은 상태에서 ProxyServlet 엔드포인트에 조작된 요청을 전송합니다. 이 과정에서 내부 루프백 주소(127.0.0.1 또는 localhost)나 내부 사설 IP 대역을 대상(Target)으로 지정하여, 외부에서 접근이 차단된 내부 관리 포트(예: Zimbra Admin SOAP API 포트 7071)에 접근을 시도합니다. 특히 이 취약점은 Autodiscover 서블릿의 XXE(XML External Entity) 취약점 등과 연계되어, 로컬 구성 파일에서 관리자 토큰 및 자격 증명을 탈취한 뒤 최종적으로 원격 코드 실행(RCE)으로 이어지는 공격 체인의 핵심 징검다리 역할을 수행합니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재될 만큼 실제 야생(In-the-Wild)에서 활발히 악용된 고위험군 취약점입니다. 공격자가 내부 네트워크 스캔을 수행하거나, 메일 서버 내부의 기밀 데이터(사용자 메일, 계정 정보)를 탈취할 수 있으며, 최종적으로 메일 서버 전체의 제어권을 장악하여 기업 비즈니스 연속성에 치명적인 피해를 입힐 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Zimbra Collaboration Suite before 8.6 patch 13, 8.7.x before 8.7.11 patch 10, and 8.8.x before 8.8.10 patch 7 or 8.8.x before 8.8.11 patch 3 allows SSRF via the ProxyServlet component.

http://packetstormsecurity.com/files/152487/Zimbra-Collaboration-Autodiscover-Servlet-XXE-ProxyServlet-SSRF.html

출처: cve@mitre.org · Exploit, Third Party Advisory, VDB Entry

http://packetstormsecurity.com/files/153190/Zimbra-XML-Injection-Server-Side-Request-Forgery.html

출처: cve@mitre.org · Exploit, Third Party Advisory, VDB Entry

http://www.rapid7.com/db/modules/exploit/linux/http/zimbra_xxe_rce

출처: cve@mitre.org · Exploit, Third Party Advisory

https://blog.tint0.com/2019/03/a-saga-of-code-executions-on-zimbra.html

출처: cve@mitre.org · Third Party Advisory

https://blog.zimbra.com/2019/03/9826/

출처: cve@mitre.org · Vendor Advisory

https://bugzilla.zimbra.com/show_bug.cgi?id=109127

출처: cve@mitre.org · Issue Tracking

자주 묻는 실무 질문 (FAQ — CVE-2019-9621)

FAQ

Q1. CVE-2019-9621 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2019-9621의 기본 점수는 CVSS 7.5 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 81.0%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2019-9621에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 synacor, zimbra이며, 대상 컴포넌트는 zimbra_collaboration_suite입니다. 상세 영향 범위: Zimbra Collaboration Suite (ZCS) 8.6 Patch 13 미만, 8.7.x ~ 8.7.11 Patch 10 미만, 8.8.x ~ 8.8.10 Patch 7 미만, 8.8.11 ~ 8.8.11 Patch 3 미만

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] 사용 중인 Zimbra 버전에 맞는 최신 공식 보안 패치를 즉시 적용하고, 외부로부터의 ProxyServlet 접근을 제한하십시오. 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동