CVE 데이터베이스CVE-2022-23131

최종 갱신 2026-06-17English Advisory →

CVE-2022-231319.8/CRITICALCISA KEV 등재CWE-290CWE-290

Zabbix Frontend SAML SSO 세션 변조를 통한 인증 우회 및 관리자 권한 상승 취약점 (CVE-2022-23131)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

zabbix

대상 컴포넌트 / 패키지

zabbix_frontend

권고문 발행일

2022-01-13

CVSS v3.1

9.8

CRITICAL

30일 악용확률

95.7%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

SAML SSO 인증이 활성화된 Zabbix Frontend 4.0.36, 5.0.18, 5.4.8, 6.0.0-alpha7 및 이하 버전

파급 효과

인증되지 않은 원격 공격자가 세션 데이터를 조작하여 유효한 사용자(또는 관리자) 권한을 획득하고 시스템을 완전히 장악할 수 있습니다

권장 조치

Zabbix Frontend를 최신 패치 버전(4.0.37, 5.0.19, 5.4.9, 6.0.0-beta1 이상)으로 즉시 업그레이드하거나 SAML 인증을 비활성화하십시오

영향받는 제품 및 버전 범위

SAML SSO 인증이 활성화된 Zabbix Frontend 4.0.0 ~ 4.0.36, 5.0.0 ~ 5.0.18, 5.4.0 ~ 5.4.8, 6.0.0-alpha1 ~ 6.0.0-alpha7

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Zabbix 공식 패치가 적용된 버전으로 패키지를 업데이트합니다. 아래 명령어를 통해 최신 안정 버전으로 업그레이드를 수행하십시오.

bash

# Debian/Ubuntu 계열 시스템 업데이트
sudo apt-get update
sudo apt-get --only-upgrade install zabbix-frontend-php

# RedHat/CentOS 계열 시스템 업데이트
sudo yum update zabbix-web-deps zabbix-web

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, Zabbix 웹 설정 파일 또는 데이터베이스에서 SAML 인증을 즉시 비활성화하여 취약점 노출을 차단하십시오.

bash

# PostgreSQL/MySQL 데이터베이스에서 SAML 인증 강제 비활성화 쿼리
# Zabbix DB에 접속 후 아래 쿼리 실행
UPDATE config SET saml_auth_enabled=0;

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

웹 서버 로그에서 SAML 인증 엔드포인트(index_sso.php)로의 비정상적인 접근 기록 및 세션 조작 시도를 점검하는 스크립트입니다.

bash

# Nginx/Apache 액세스 로그에서 SAML SSO 요청 및 응답 코드 분석
grep 'index_sso.php' /var/log/nginx/access.log /var/log/httpd/access_log | grep ' 200 '

# 현재 설치된 Zabbix Frontend 버전 확인
dpkg -l | grep zabbix-frontend || rpm -qa | grep zabbix-web

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

CISA KEV 등재 및 실전 악용이 확인된 취약점이므로, SAML 사용 여부를 즉시 점검하고 최신 보안 패치 버전으로 업그레이드하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점은 Zabbix Frontend에서 SAML SSO(Single Sign-On) 인증이 활성화되어 있을 때 발생하는 세션 검증 부재 취약점(CWE-290)입니다. Zabbix는 클라이언트 측 쿠키에 세션 데이터를 저장하고 이를 복호화하여 사용하는데, SAML 인증 과정에서 세션에 저장된 사용자 로그인 정보(username)의 무결성과 소유권을 올바르게 검증하지 않는 설계 결함이 존재합니다. 이로 인해 공격자는 세션 내의 사용자 식별자 값을 임의로 조작할 수 있게 됩니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 SAML 인증이 활성화된 대상 Zabbix 인스턴스를 식별한 후, Base64 및 JSON 형태로 인코딩된 Zabbix 세션 쿠키(zbx_session)를 탈취하거나 직접 생성합니다. 세션 데이터 내부의 SAML 관련 필드(예: saml_data)에 대상 시스템에 존재하는 관리자 계정명(기본값: Admin)을 주입한 뒤, 이를 다시 인코딩하여 요청 헤더에 포함시켜 전송합니다. Zabbix 서버는 세션 서명은 검증하지만 세션 내부 데이터의 논리적 소유권을 검증하지 않으므로, 공격자가 제공한 세션 정보를 신뢰하여 패스워드 입력 없이 관리자 세션을 발급하게 됩니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CVSS 9.8의 치명적(Critical) 등급으로, 실제 공격에 적극적으로 악용되어 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되었습니다. 공격자가 Zabbix 관리자 권한을 획득할 경우, 모니터링 대상인 전체 IT 인프라(서버, 네트워크 장비, 데이터베이스 등)에 명령을 실행하거나 민감한 자격 증명을 탈취할 수 있습니다. 또한 Zabbix Agent/Proxy와의 연결을 악용하여 내부망 전체로 공격을 확산시키는 징검다리로 악용될 수 있어 비즈니스 연속성에 치명적인 위협이 됩니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

In the case of instances where the SAML SSO authentication is enabled (non-default), session data can be modified by a malicious actor, because a user login stored in the session was not verified. Malicious unauthenticated actor may exploit this issue to escalate privileges and gain admin access to Zabbix Frontend. To perform the attack, SAML authentication is required to be enabled and the actor has to know the username of Zabbix user (or use the guest account, which is disabled by default).

https://support.zabbix.com/browse/ZBX-20350

출처: security@zabbix.com · Issue Tracking, Patch, Vendor Advisory

https://support.zabbix.com/browse/ZBX-20350

출처: af854a3a-2127-422b-91ae-364da2661108 · Issue Tracking, Patch, Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-23131

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2022-23131)

FAQ

Q1. CVE-2022-23131 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2022-23131의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 95.7%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2022-23131에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 zabbix이며, 대상 컴포넌트는 zabbix_frontend입니다. 상세 영향 범위: SAML SSO 인증이 활성화된 Zabbix Frontend 4.0.0 ~ 4.0.36, 5.0.0 ~ 5.0.18, 5.4.0 ~ 5.4.8, 6.0.0-alpha1 ~ 6.0.0-alpha7

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Zabbix Frontend를 최신 패치 버전(4.0.37, 5.0.19, 5.4.9, 6.0.0-beta1 이상)으로 즉시 업그레이드하거나 SAML 인증을 비활성화하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동