🇰🇷 한글 설명
Zimbra Collaboration Suite(ZCS)의 선택적 dnscache 패키지에 있는 로컬 권한 상승 취약점입니다. passwordless sudo 정책으로 zmunbound에 임의 인자를 전달할 수 있어, 공격자가 root 권한을 유지하고 chroot를 비활성화하는 Unbound 설정을 주입할 수 있습니다. 이를 통해 root 전용 파일 내용과 비밀번호 해시, 개인키가 유출되거나 권한 있는 설정 파일이 손상되어 서비스 기동이 실패할 수 있습니다. 영향 버전은 ZCS 10.1.16 및 10.1.21의 dnscache 패키지입니다.
💡 쉬운 설명
Zimbra 메일 서버의 선택 기능 중 하나에 결함이 있어, 일반 서버 계정을 가진 사용자가 관리자(root) 권한을 탈취할 수 있습니다. 그 결과 중요한 비밀번호와 암호화 키가 노출되거나 서버 설정이 망가질 수 있습니다.
🇺🇸 원문 (English)
A local privilege escalation vulnerability in the optional dnscache package of Zimbra Collaboration Suite (ZCS) allows the Unix zimbra account to access files with root privileges. The passwordless sudo policy permits arbitrary arguments to zmunbound, whose wrapper forwards them to Unbound without restricting the configuration path. An attacker can supply a configuration that retains root privileges and disables the chroot. Include directives expose root-readable file contents through parser errors, while an attacker-selected logfile path creates a root-owned file or appends Unbound log records to an existing file. This can disclose password hashes and private keys and corrupt privileged configuration files, preventing affected services from starting with the modified configuration. The affected configuration is present in ZCS 10.1.16 and 10.1.21 dnscache packages.
📍 영향받는 시스템
Zimbra Collaboration Suite 10.1.16 및 10.1.21의 dnscache 패키지 설치 시스템
⚔️ 공격 벡터
로컬 사용자(zimbra 계정)가 sudo로 zmunbound에 조작된 Unbound 설정 파일 경로와 include/logfile 지시자를 전달해 root 권한으로 파일을 읽고 쓰는 방식
🛡️ 대응 방법
Zimbra 공식 패치 버전으로 업그레이드하고, 패치 전까지 dnscache 패키지를 비활성화하거나 zimbra 계정의 zmunbound sudo 권한을 제한하세요.
🔧 검증 코드
첫 번째 명령은 설치된 Zimbra dnscache 패키지 버전을 보여주며 10.1.16 또는 10.1.21이면 취약합니다. 두 번째 명령에서 zmunbound에 대한 NOPASSWD 항목이 출력되면 취약 조건이 존재하는 것입니다.
dpkg -l | grep -i zimbra | grep -iE 'dnscache|10\.1\.(16|21)' 2>/dev/null; sudo -l -U zimbra 2>/dev/null | grep -i zmunbound