Zimbra Collaboration Suite (ZCS) 임의 파일 업로드 및 원격 코드 실행 취약점 (CVE-2022-41352)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTZimbra Collaboration Suite (ZCS) 8.8.15 및 9.0 버전 중 Red Hat 계열 OS(RHEL/CentOS) 환경에서 pax 유틸리티가 설치되지 않은 시스템.
인증되지 않은 공격자가 악성 첨부파일이 포함된 이메일을 전송하여 amavis 스캔 과정에서 웹 루트 디렉토리에 임의의 파일을 생성하고, 최종적으로 시스템 권한을 탈취할 수 있습니다.
운영체제 패키지 관리자를 통해 pax 유틸리티를 즉시 설치하거나, Zimbra 최신 보안 패치를 적용하십시오.
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
Zimbra 공식 보안 패치를 적용하여 취약점이 해결된 버전으로 업그레이드합니다.
# Red Hat / CentOS 계열 패치 적용
yum clean all
yum update zimbra-patch
# Zimbra 서비스 재시작 (zimbra 유저로 실행)
su - zimbra -c 'zmcontrol restart'2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
패치 적용이 어려운 경우, amavis가 cpio 대신 안전한 pax 유틸리티를 사용하도록 시스템에 pax 패키지를 즉시 설치해야 합니다. pax가 설치되면 amavis는 자동으로 cpio보다 pax를 우선하여 사용하므로 취약점이 완화됩니다.
# RHEL / CentOS 계열에서 pax 설치
yum install -y pax
# Ubuntu / Debian 계열에서 pax 설치 (미설치된 경우)
apt-get update && apt-get install -y pax
# amavis 서비스 재시작
su - zimbra -c 'zmamavisdctl restart'3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
Zimbra 웹 루트 디렉토리에 비정상적인 JSP 파일이나 웹셸이 생성되었는지 점검하고, 시스템에 pax가 정상적으로 설치되어 있는지 확인합니다.
# 1. 시스템 내 pax 설치 여부 확인
which pax || echo 'WARNING: pax is not installed! System is vulnerable if running affected ZCS.'
# 2. Zimbra public 디렉토리 내 최근 생성된 JSP 파일 및 웹셸 의심 파일 검색
find /opt/zimbra/jetty/webapps/zimbra/public/ -name '*.jsp' -mtime -30 -ls
# 3. amavis 로그에서 cpio 관련 비정상적인 압축 해제 시도 흔적 분석
grep -i 'cpio' /var/log/zimbra.log코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요
서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점은 Zimbra Collaboration Suite(ZCS)의 메일 보안 필터인 amavis가 첨부파일을 검사하고 압축을 해제하는 과정에서 발생합니다. amavis는 압축 아카이브를 처리할 때 시스템에 설치된 유틸리티를 사용하는데, pax 유틸리티가 없는 경우 차선책으로 cpio를 사용합니다. RHEL/CentOS 6 이후 버전부터는 pax가 기본 설치 대상에서 제외되어 cpio가 사용되는 환경이 조성되었습니다. cpio는 아카이브 추출 시 절대 경로 및 상위 경로 참조(Path Traversal)를 적절히 제한하지 못하는 결함(cpio loophole)이 존재하여, 공격자가 지정한 임의의 경로에 파일이 생성되는 취약점이 발생합니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
공격자는 특수하게 조작된 tar 또는 cpio 아카이브 파일을 이메일 첨부파일로 전송합니다. Zimbra 서버의 amavis 스패머/바이러스 필터가 이 메일을 수신하면 첨부파일 검사를 위해 압축 해제를 시도합니다. 이때 시스템에 pax가 없으면 cpio를 실행하게 되며, 공격자가 아카이브 내부에 심어둔 경로 탈취 패턴(예: '../../../../opt/zimbra/jetty/webapps/zimbra/public/shell.jsp')이 그대로 해석되어 Zimbra의 공개 웹 디렉토리에 악성 웹셸(WebShell)이 생성됩니다. 공격자는 이 웹셸에 직접 접근하여 인증 없이 원격 명령을 실행할 수 있게 됩니다.
3. 비즈니스 및 인프라 파급 영향
이 취약점은 CVSS 9.8의 심각도를 가지며, 실제 야생(In-the-Wild)에서 적극적으로 악용된 이력이 존재합니다 (CISA KEV 등재). 공격자가 웹셸 업로드에 성공할 경우, 메일 서버 내의 모든 사용자 계정 정보, 이메일 데이터베이스, 자격 증명에 접근할 수 있는 권한을 획득하게 됩니다. 이는 기업 내부 기밀 정보 유출, 메일 인프라를 악용한 2차 스팸/피싱 메일 발송, 내부 네트워크 침투를 위한 교두보 확보 등 비즈니스 연속성에 치명적인 피해를 초래합니다.
공식 보안 권고문 및 참조 링크
An issue was discovered in Zimbra Collaboration (ZCS) 8.8.15 and 9.0. An attacker can upload arbitrary files through amavis via a cpio loophole (extraction to /opt/zimbra/jetty/webapps/zimbra/public) that can lead to incorrect access to any other user accounts. Zimbra recommends pax over cpio. Also, pax is in the prerequisites of Zimbra on Ubuntu; however, pax is no longer part of a default Red Hat installation after RHEL 6 (or CentOS 6). Once pax is installed, amavis automatically prefers it over cpio.
자주 묻는 실무 질문 (FAQ — CVE-2022-41352)
FAQQ1. CVE-2022-41352 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2022-41352의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 95.5%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2022-41352에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 zimbra이며, 대상 컴포넌트는 zimbra_collaboration_suite입니다. 상세 영향 범위: Zimbra Collaboration Suite (ZCS) 8.8.15 및 9.0 버전 (특히 RHEL/CentOS 등 pax가 기본 설치되지 않은 OS 환경에서 구동되는 인스턴스).
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] 운영체제 패키지 관리자를 통해 pax 유틸리티를 즉시 설치하거나, Zimbra 최신 보안 패치를 적용하십시오. 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2022-41352 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (zimbra)
동일 카테고리 전체 보기 →Zimbra Collaboration Suite (ZCS) 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-73570, CISA KEV 등재)
[영향 대상] zimbra-snmp 패키지가 설치되어 있고 SNMP 알림 기능이 활성화된 Zimbra Collaboration (ZCS) 10.1.20 미만 버전.
Adobe ColdFusion 경로 탐색(Path Traversal) 기반 원격 코드 실행(RCE) 취약점 긴급 보안 권고 (CVE-2026-48282)
[영향 대상] Adobe ColdFusion 2025.9, 2023.20 및 이전 버전
WebDyne Perl 프레임워크 경로 탐색 및 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-78189)
[영향 대상] WebDyne 3.007 버전 이상 3.022 미만 버전을 사용하는 Perl 웹 애플리케이션 환경
Ahsay AhsayCBS Replication Receiver 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-105134)
[영향 대상] AhsayCBS 9.15.2.69 및 10.3.4.44 이하 버전의 Replication Receiver 구성 요소
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.