CISA, Microsoft Partner Center 및 Synacor Zimbra Collaboration Suite 취약점 '알려진 악용 취약점(KEV)' 카탈로그에 추가

U.S. CISA adds Microsoft Partner Center and Synacor Zimbra Collaboration Suite flaws to its Known Exploited Vulnerabilities catalog

U.S. CISA adds Microsoft Partner Center and Synacor Zimbra Collaboration Suite flaws to its Known Exploited Vulnerabilities cat

 

• 추가된 주요 취약점
  • CVE-2023-34192: Synacor Zimbra Collaboration Suite (ZCS) 크로스 사이트 스크립팅(XSS) 취약점
    • CVSS 점수: 9.0 (Critical)
    • 원격 인증된 공격자가 /h/autoSaveDraft 기능을 통해 악의적인 스크립트를 사용하여 임의 코드를 실행할 수 있음
    • 2023년 7월, ZCS 8.8.15 Patch 40에서 패치 완료
  • CVE-2024-49035: Microsoft Partner Center 부적절한 접근 제어 취약점
    • CVSS 점수: 8.7 (High)
    • 인증되지 않은 공격자가 Partner.Microsoft.com을 통해 네트워크에서 권한을 상승시킬 수 있음
    • 2024년 11월, Microsoft 패치 화요일 업데이트를 통해 수정 완료
• 공격 시나리오 및 영향
  • ZCS의 XSS 취약점을 악용할 경우 사용자의 세션 탈취, 악성 코드 실행, 민감한 데이터 유출 가능
  • Microsoft Partner Center의 권한 상승 취약점을 통해 공격자는 관리자 권한을 얻어 시스템을 장악할 위험이 있음
  • 이러한 취약점은 원격에서 악용 가능하며, 네트워크 보안의 큰 위협이 될 수 있음
• 정부 및 기업에 대한 보안 권고
  • 미국 CISA는 연방기관(FCEB)에 2025년 3월 25일까지 해당 취약점을 해결하도록 명령
  • Binding Operational Directive (BOD) 22-01을 통해 모든 연방기관은 알려진 악용 취약점 목록을 지속적으로 검토하고 패치 적용 필요
  • 민간 기업 역시 자사의 시스템과 인프라를 평가하고 관련 패치를 즉시 적용해야 함
• 보안 권고
  • ZCS와 Microsoft Partner Center를 사용하는 기관 및 기업은 최신 보안 패치를 적용해야 함
  • 공격 표면을 줄이기 위해 원격 접근 제어, 다중 인증(MFA) 및 보안 로그 모니터링 강화 필요
  • XSS 공격을 방지하기 위해 입력값 검증, 콘텐츠 보안 정책(CSP) 설정 권장
  • 정기적인 보안 취약점 평가와 대응 계획 수립을 통해 선제적으로 보안을 강화해야 함