Zimbra Collaboration Suite (ZCS) 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-73570, CISA KEV 등재)

1. 공식 보안 패치 적용

Zimbra 공식 권고에 따라 시스템을 10.1.20 이상 버전으로 신속히 업그레이드하십시오.

2. 임시 완화 조치 (패치 적용이 불가능한 경우)

패치 적용 전까지 취약한 모듈을 비활성화하여 공격 경로를 차단할 수 있습니다.

A. zimbra-snmp 서비스 중지 및 비활성화 Zimbra 사용자 권한으로 아래 명령을 실행하여 SNMP 서비스를 중지합니다.

# Zimbra 사용자로 전환
su - zimbra

# SNMP 서비스 중지
zmsnmpstatusctl stop

# 서비스 자동 시작 비활성화
zmprov ms $(zmhostname) -zimbraServiceEnabled snmp

B. 패키지 제거 (필요 시) 운영체제 패키지 관리자를 통해 취약한 패키지를 완전히 제거합니다.

• Ubuntu/Debian 계열:

  sudo apt-get remove zimbra-snmp

• RHEL/CentOS 계열:

  sudo yum remove zimbra-snmp

본 취약점(CVE-2026-73570)은 Zimbra Collaboration Suite(ZCS)에서 발생하는 심각한 OS 명령 주입(OS Command Injection, CWE-78) 취약점입니다.

원인 분석: ZCS 내의 선택적 구성 요소인 zimbra-snmp 패키지가 설치되고 SNMP 알림(Notification) 기능이 활성화되어 있을 때, 시스템이 외부 입력을 적절히 검증하지 않아 발생합니다.

공격 메커니즘:

• 공격자는 인증을 거치지 않은 상태에서 대상 Zimbra 서버로 특수하게 조작된 SMTP 요청을 전송합니다.
• Zimbra 내부의 SNMP 알림 처리 모듈이 이 요청에 포함된 신뢰할 수 없는 입력값을 검증 없이 셸 명령 실행 컨텍스트에 전달합니다.
• 이로 인해 공격자가 주입한 임의의 OS 명령어가 zimbra 시스템 사용자 권한으로 실행됩니다.

위험성 및 영향도: 본 취약점은 CVSS 8.9(High)로 평가되었으며, 실제 야생에서 공격에 악용되고 있어 CISA KEV(Known Exploited Vulnerabilities) 카탈로그에 등재되었습니다. 공격자는 이 취약점을 통해 메일 서버를 완전히 장악하고, 내부 기밀 이메일 데이터를 탈취하거나 내부 네트워크 침투를 위한 교두보로 악용할 수 있습니다.