Zimbra Collaboration Suite (ZCS) WebEx Zimlet SSRF 취약점 (CVE-2020-7796) 보안 권고
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTZimbra Collaboration Suite (ZCS) 8.8.15 Patch 7 미만 버전 중 WebEx zimlet이 설치되고 zimlet JSP가 활성화된 환경
인증되지 않은 원격 공격자가 SSRF(서버 측 요청 위조)를 통해 내부 네트워크 자원에 접근하고 민감한 데이터를 탈취하거나 추가적인 원격 코드 실행(RCE)으로 연계할 수 있습니다
Zimbra Collaboration Suite를 8.8.15 Patch 7 이상 최신 버전으로 즉시 업그레이드하거나, 사용하지 않는 WebEx zimlet을 비활성화 및 삭제하십시오
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
Zimbra 공식 패치를 적용하기 위해 아래 명령어를 사용하여 시스템을 최신 패치 버전(8.8.15 Patch 7 이상)으로 업데이트합니다.
# RedHat/CentOS 계열 시스템 업데이트
yum clean all
yum update zimbra-patch
# Ubuntu/Debian 계열 시스템 업데이트
apt-get update
apt-get --only-upgrade install zimbra-patch
# Zimbra 서비스 재시작 (zimbra 사용자로 실행)
su - zimbra -c 'zmcontrol restart'2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
즉각적인 패치가 어려운 경우, 취약한 WebEx Zimlet을 비활성화하고 삭제하여 공격 표면을 제거합니다.
# zimbra 사용자로 전환하여 WebEx zimlet 비활성화 및 제거
su - zimbra
# WebEx zimlet 상태 확인 및 비활성화
zmzimletctl disable com_zimbra_webex
# WebEx zimlet 완전히 제거
zmzimletctl undeploy com_zimbra_webex
# Zimbra 메일박스 서비스 재시작
zmmboxdctl restart3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
서버 내 WebEx Zimlet 활성화 여부 및 관련 로그에서 SSRF 시도 흔적을 점검합니다.
# WebEx Zimlet 설치 및 활성화 여부 점검
su - zimbra -c 'zmzimletctl listZimlets' | grep webex
# mailbox.log 및 access log에서 WebEx JSP 호출 및 비정상적인 외부 URL 요청 패턴 검색
grep -i 'webex' /opt/zimbra/log/mailbox.log
grep -i 'zimlet' /opt/zimbra/log/access_log* | grep -E '(http|https)://'코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요
서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2020-7796)은 Zimbra Collaboration Suite(ZCS)의 WebEx Zimlet 구성 요소에서 발생하는 서버 측 요청 위조(SSRF, CWE-918) 취약점입니다. Zimlet JSP가 활성화된 상태에서 WebEx Zimlet이 외부 요청을 처리할 때, 입력값에 대한 적절한 검증 및 필터링이 결여되어 발생합니다. 이로 인해 공격자는 Zimbra 서버가 임의의 내부 또는 외부 IP 주소로 HTTP 요청을 전송하도록 강제할 수 있습니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
인증되지 않은 원격의 공격자는 WebEx Zimlet의 특정 JSP 엔드포인트로 조작된 HTTP 요청을 전송합니다. Zimbra 서버는 방화벽 내부의 신뢰할 수 있는 영역에 위치하는 경우가 많으므로, 공격자는 이 취약점을 악용하여 외부에서 접근 불가능한 내부 메타데이터 서비스(예: AWS IMDSv1/v2, GCP 메타데이터)나 내부 데이터베이스, LDAP 디렉터리 서비스 등에 접근을 시도합니다. 특히 CISA KEV(Known Exploited Vulnerabilities)에 등재될 만큼 실제 위협 그룹에 의해 적극적으로 악용된 이력이 존재합니다.
3. 비즈니스 및 인프라 파급 영향
이 취약성이 성공적으로 악용될 경우, 공격자는 내부 네트워크의 토폴로지를 스캔하거나 클라우드 환경의 자격 증명(Credential)을 탈취할 수 있습니다. 이는 2차 침투로 이어져 메일 서버 전체의 권한 장악, 이메일 데이터 유출, 그리고 기업 내부망 전체의 침해 사고로 확대될 수 있는 치명적인 비즈니스 위험을 초래합니다.
공식 보안 권고문 및 참조 링크
Zimbra Collaboration Suite (ZCS) before 8.8.15 Patch 7 allows SSRF when WebEx zimlet is installed and zimlet JSP is enabled.
자주 묻는 실무 질문 (FAQ — CVE-2020-7796)
FAQQ1. CVE-2020-7796 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2020-7796의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 93.6%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2020-7796에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 zimbra이며, 대상 컴포넌트는 zimbra collaboration suite입니다. 상세 영향 범위: Zimbra Collaboration Suite (ZCS) 8.8.15 Patch 7 미만 버전 (WebEx zimlet 설치 및 JSP 활성화 환경)
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] Zimbra Collaboration Suite를 8.8.15 Patch 7 이상 최신 버전으로 즉시 업그레이드하거나, 사용하지 않는 WebEx zimlet을 비활성화 및 삭제하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2020-7796 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (zimbra)
동일 카테고리 전체 보기 →Zimbra Collaboration Suite (ZCS) 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-73570, CISA KEV 등재)
[영향 대상] zimbra-snmp 패키지가 설치되어 있고 SNMP 알림 기능이 활성화된 Zimbra Collaboration (ZCS) 10.1.20 미만 버전.
Plex Media Server 서버 측 요청 위조(SSRF) 취약점 보안 권고 (CVE-2026-96655)
[영향 대상] 1.43.3.10861 미만 버전의 모든 Plex Media Server 설치본
Plex Media Server SSRF 취약점 보안 권고 (CVE-2026-96652) - 내부망 침투 및 원격 요청 위조
[영향 대상] 1.43.3.10861 미만 버전의 모든 Plex Media Server 설치본
Campfire SSRF 취약점 보안 권고 (CVE-2026-100355): 내부 네트워크 보호 우회 및 정보 노출
[영향 대상] Campfire 버전 1.4.4 및 이전 버전을 사용하는 모든 환경
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.