🇰🇷 한글 설명
Zimbra Collaboration Suite(ZCS)의 RestFilter가 인증되지 않은 /h/* 요청의 URL 파라미터를 내부 디스패치용 서블릿 속성으로 그대로 복사하는 취약점입니다. CVE-2026-10632와 결합하면 공격자가 자신의 유효한 토큰과 문서 식별자를 지정해 다른 사용자의 로그인된 브라우저 세션에서 JavaScript를 실행할 수 있습니다. ZCS 10.1.17은 문서 렌더러를 변경해 이 XSS 체인을 차단하지만 요청 속성 덮어쓰기 자체는 남아 있습니다.
💡 쉬운 설명
공격자가 메일 시스템의 숨겨진 설정값을 외부 요청으로 조작할 수 있는 문제입니다. 이를 악용하면 다른 사용자의 웹 브라우저에서 악성 스크립트가 실행될 수 있습니다.
🇺🇸 원문 (English)
A request attribute override vulnerability in Zimbra Collaboration Suite (ZCS) allows unauthenticated requests to /h/* to populate servlet attributes intended for trusted internal dispatch. RestFilter copies URL parameters specifying an authentication token, target account, target item and dispatch state into the request attributes consumed by the Classic Web Client. Combined with CVE-2026-10632 on ZCS 10.1.16, this allows an attacker to supply their own valid token and document identifiers and execute JavaScript in another user's signed-in browser session. ZCS 10.1.17 blocks that XSS chain by changing the document renderer, but retains the request attribute override.
📍 영향받는 시스템
Zimbra Collaboration Suite(ZCS) 10.1.17 미만 버전 (CVE-2026-10632 결합 시 10.1.16 포함)
⚔️ 공격 벡터
인증 없이 /h/* 경로에 조작된 URL 파라미터(토큰, 계정, 항목, 디스패치 상태)를 담은 요청을 보내 사용자 브라우저에서 XSS를 유발
🛡️ 대응 방법
ZCS 10.1.17 이상으로 업그레이드하고, 최신 패치 적용 여부를 확인하며, 필요시 /h/* 경로에 대한 외부 접근을 WAF나 리버스 프록시에서 제한
🔧 검증 코드
출력된 버전이 10.1.17 이상이면 패치가 적용된 것이며, 10.1.16 이하이면 취약한 버전이므로 즉시 업그레이드가 필요합니다.
su - zimbra -c 'zmcontrol -v' 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'