CVE 데이터베이스CVE-2019-9670

최종 갱신 2026-06-17English Advisory →

CVE-2019-96709.8/CRITICALCISA KEV 등재CWE-611CWE-611

Zimbra Collaboration Suite (ZCS) Mailboxd Autodiscover XML 외부 엔티티 주입(XXE) 취약점 (CVE-2019-9670)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

synacor, zimbra

대상 컴포넌트 / 패키지

zimbra_collaboration_suite

권고문 발행일

2019-05-29

CVSS v3.1

9.8

CRITICAL

30일 악용확률

100.0%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Zimbra Collaboration Suite (ZCS) 8.7.x 버전 중 8.7.11p10 미만 버전

파급 효과

인증되지 않은 원격 공격자가 XML 외부 엔티티(XXE) 주입을 통해 로컬 시스템 파일을 탈취하고, SSRF 및 추가적인 원격 코드 실행(RCE)으로 연계할 수 있습니다

권장 조치

Zimbra Collaboration Suite를 최신 패치 버전(8.7.11p10 이상)으로 즉시 업그레이드하고, 외부 노출된 Autodiscover 서블릿 경로에 대한 접근을 제한하십시오

영향받는 제품 및 버전 범위

Zimbra Collaboration Suite (ZCS) 8.7.x ~ 8.7.11 Patch 10 미만 버전

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Zimbra 공식 패치를 적용하기 위해 아래 명령어를 사용하여 시스템을 최신 패키지로 업데이트하십시오. 작업 전 반드시 메일 데이터 및 설정 파일을 백업하십시오.

bash

# Zimbra 서비스를 중지하고 패키지 업데이트를 수행합니다 (RedHat/CentOS 계열 예시)
su - zimbra -c 'zmcontrol stop'
yum update zimbra-store -y
su - zimbra -c 'zmcontrol start'

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, Nginx 리버스 프록시 또는 Zimbra 내부 프록시 설정을 통해 외부로부터의 Autodiscover 서블릿 접근을 차단하십시오.

nginx

# Zimbra Nginx 템플릿 설정 파일 수정 (/opt/zimbra/conf/nginx/templates/nginx.conf.web.http.default.template)
# Autodiscover 경로에 대한 외부 접근 차단 설정 추가
location ^~ /Autodiscover/ {
    deny all;
    return 403;
}

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

서버 내 mailbox.log 파일에서 Autodiscover 요청 및 XXE 공격 시도 흔적을 탐지하는 스크립트입니다.

bash

# mailbox.log에서 Autodiscover 서블릿 호출 및 비정상적인 XML 요청 패턴 검색
grep -i 'Autodiscover' /opt/zimbra/log/mailbox.log | grep -E 'ENTITY|SYSTEM' || echo 'No obvious XXE attempts found in active logs.'

# 현재 설치된 Zimbra 버전 및 패치 레벨 확인
su - zimbra -c 'zmcontrol -v'

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

CISA KEV 등재 및 EPSS 점수 0.9999에 달하는 극도로 위험한 취약점이므로, 즉시 최신 보안 패치를 적용하거나 외부 접근을 차단하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2019-9670)은 Zimbra Collaboration Suite(ZCS)의 mailboxd 컴포넌트 내 Autodiscover 서블릿(Autodiscover/Autodiscover.xml)에서 발생합니다. XML 데이터를 파싱하는 과정에서 외부 엔티티 참조(XML External Entity, XXE)를 제한하지 않아 발생하며, 공격자는 악의적으로 구성된 XML 페이로드를 전송하여 서버 내부의 민감한 파일(예: localconfig.xml 내의 Zimbra LDAP 관리자 비밀번호 등)을 무단으로 조회할 수 있습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 인증 없이 접근 가능한 /Autodiscover/Autodiscover.xml 엔드포인트로 HTTP POST 요청을 전송합니다. 요청 본문에 외부 DTD(Document Type Definition) 또는 인라인 엔티티를 정의하여 로컬 파일 시스템의 자원을 참조하도록 유도합니다.

특히 이 취약점은 단독 파일 유출에 그치지 않고, 탈취한 Zimbra 관리자 자격 증명을 활용하여 ProxyServlet 또는 기타 관리자 API를 통해 SSRF(Server-Side Request Forgery) 및 최종적으로 원격 코드 실행(RCE)으로 연계되는 체인 공격에 악용되는 것으로 알려져 있습니다. CISA KEV(Known Exploited Vulnerabilities)에 등재되어 실제 공격 그룹에 의해 활발히 악용되고 있는 고위험군 취약점입니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점이 성공적으로 악용될 경우, 기업의 핵심 협업 및 이메일 인프라인 Zimbra 서버의 제어권이 완전히 탈취될 수 있습니다. 이메일 데이터 무단 열람, 내부 네트워크 침투를 위한 프록시 거점 활용, 랜섬웨어 유포 등 비즈니스 연속성에 치명적인 피해를 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

mailboxd component in Synacor Zimbra Collaboration Suite 8.7.x before 8.7.11p10 has an XML External Entity injection (XXE) vulnerability, as demonstrated by Autodiscover/Autodiscover.xml.

http://packetstormsecurity.com/files/152487/Zimbra-Collaboration-Autodiscover-Servlet-XXE-ProxyServlet-SSRF.html

출처: cve@mitre.org · Exploit, Third Party Advisory, VDB Entry

http://www.rapid7.com/db/modules/exploit/linux/http/zimbra_xxe_rce

출처: cve@mitre.org · Third Party Advisory

https://bugzilla.zimbra.com/show_bug.cgi?id=109129

출처: cve@mitre.org · Broken Link, Issue Tracking, Patch, Third Party Advisory

https://isc.sans.edu/forums/diary/CVE20199670+Zimbra+Collaboration+Suite+XXE+vulnerability/27570/

출처: cve@mitre.org · Exploit, Third Party Advisory

https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories

출처: cve@mitre.org · Vendor Advisory

https://www.exploit-db.com/exploits/46693/

출처: cve@mitre.org · Exploit, Third Party Advisory, VDB Entry

자주 묻는 실무 질문 (FAQ — CVE-2019-9670)

FAQ

Q1. CVE-2019-9670 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2019-9670의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 100.0%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2019-9670에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 synacor, zimbra이며, 대상 컴포넌트는 zimbra_collaboration_suite입니다. 상세 영향 범위: Zimbra Collaboration Suite (ZCS) 8.7.x ~ 8.7.11 Patch 10 미만 버전

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Zimbra Collaboration Suite를 최신 패치 버전(8.7.11p10 이상)으로 즉시 업그레이드하고, 외부 노출된 Autodiscover 서블릿 경로에 대한 접근을 제한하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동