CVE 데이터베이스CVE-2022-27924

최종 갱신 2026-10-02English Advisory →

CVE-2022-279247.5/HIGHCISA KEV 등재CWE-74CWE-74

Zimbra Collaboration Suite (ZCS) Memcached 명령 주입 취약점 (CVE-2022-27924) 보안 권고

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

zimbra

대상 컴포넌트 / 패키지

zimbra collaboration suite, zcs

권고문 발행일

2022-04-21

CVSS v3.1

7.5

HIGH

30일 악용확률

93.9%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Zimbra Collaboration Suite (ZCS) 8.8.15 및 9.0 버전.

파급 효과

인증되지 않은 원격 공격자가 임의의 Memcached 명령을 주입하여 캐시 데이터를 변조하고, 메일 세션 탈취 및 자격 증명 유출을 유발할 수 있습니다.

권장 조치

Zimbra 공식 보안 패치(9.0.0 Patch 24 또는 8.8.15 Patch 31 이상)를 즉시 적용하십시오.

영향받는 제품 및 버전 범위

Zimbra Collaboration Suite (ZCS) 8.8.15 및 9.0 버전 (패치 미적용 상태)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Zimbra 공식 패치 저장소를 업데이트하고 최신 패치 버전을 적용합니다. 아래 명령어를 통해 패치를 수행하십시오.

bash

# RedHat / CentOS 계열 시스템
sudo yum clean all
sudo yum update zimbra-patch -y
sudo su - zimbra -c 'zmcontrol restart'

# Ubuntu / Debian 계열 시스템
sudo apt-get update
sudo apt-get install --only-upgrade zimbra-patch -y
sudo su - zimbra -c 'zmcontrol restart'

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, 외부망에서 Zimbra 프록시 및 Memcached 포트(기본 11211)로의 직접적인 접근을 차단하고 로컬호스트(127.0.0.1)에서만 통신할 수 있도록 방화벽 설정을 강화합니다.

bash

# Memcached가 외부 인터페이스에 바인딩되어 있는지 확인 및 차단 (iptables 예시)
sudo iptables -A INPUT -p tcp -s 127.0.0.1 --dport 11211 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 11211 -j DROP

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

Zimbra 메일 로그 및 프록시 로그에서 비정상적인 줄바꿈 문자(\r\ 또는 %0d%0a)가 포함된 요청이 존재하는지 점검합니다.

bash

# nginx access log에서 Memcached 주입 시도 흔적 검색
grep -Ei '(%0d|%0a|\x0d|\x0a)' /opt/zimbra/log/nginx.access.log

# 현재 설치된 Zimbra 패치 버전 확인
su - zimbra -c 'zmcontrol -v'

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

실제 공격에 악용 중인 취약점이므로, Zimbra 서버의 외부 노출을 최소화하고 즉시 최신 보안 패치를 적용하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2022-27924)은 Zimbra Collaboration Suite(ZCS)가 메일 클라이언트 요청을 처리하는 과정에서 입력값 검증이 미흡하여 발생합니다. ZCS는 성능 향상을 위해 Memcached를 사용하여 사용자 세션 및 라우팅 정보를 캐싱합니다. 공격자가 조작된 HTTP 요청 헤더나 인자값에 줄바꿈 문자(\r\ )를 포함하여 전송할 경우, 내부 Memcached 프로토콜 명령어로 해석되어 실행되는 'Memcached Injection' 취약점(CWE-74)이 발생합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

인증되지 않은 외부 공격자는 특정 메일 계정의 라우팅 정보를 조회하는 요청을 전송하면서, 줄바꿈 문자와 함께 Memcached 'set' 명령어를 주입합니다. ZCS 프록시는 이 입력을 이스케이프 처리하지 않고 Memcached 서버로 그대로 전달합니다. 이로 인해 공격자는 캐시 내의 특정 사용자 세션 토큰이나 메일 서버 라우팅 대상 IP를 공격자의 서버로 덮어쓸 수 있습니다. 결과적으로 정상 사용자가 로그인할 때 공격자 제어 하의 서버로 트래픽이 프록시되어 자격 증명이 탈취됩니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재되어 실제 공격에 적극적으로 악용되고 있는 고위험군 취약점입니다. 공격자는 이 취약점을 통해 기업 내부의 민감한 이메일 데이터를 탈취하거나, 임직원의 계정 권한을 획득하여 내부망 침투를 위한 교두보로 활용할 수 있어 비즈니스 연속성에 치명적인 위협을 초래합니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Zimbra Collaboration (aka ZCS) 8.8.15 and 9.0 allows an unauthenticated attacker to inject arbitrary memcache commands into a targeted instance. These memcache commands becomes unescaped, causing an overwrite of arbitrary cached entries.

https://wiki.zimbra.com/wiki/Security_Center

출처: cve@mitre.org · Vendor Advisory

https://wiki.zimbra.com/wiki/Zimbra_Releases/9.0.0/P24

출처: cve@mitre.org · Release Notes, Vendor Advisory

https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories

출처: cve@mitre.org · Vendor Advisory

https://wiki.zimbra.com/wiki/Security_Center

출처: af854a3a-2127-422b-91ae-364da2661108 · Vendor Advisory

https://wiki.zimbra.com/wiki/Zimbra_Releases/9.0.0/P24

출처: af854a3a-2127-422b-91ae-364da2661108 · Release Notes, Vendor Advisory

https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories

출처: af854a3a-2127-422b-91ae-364da2661108 · Vendor Advisory