악성코드 삽입된 이메일 메시지, 사용자가 클릭 없이 ‘보기만 해도’ 해킹 피해 입어

[보안뉴스 김형근 기자] 미국 사이버보안및인프라보안국(CISA)은 기업용 이메일 및 협업 플랫폼 ‘짐브라’(ZCS: Zimbra Collaboration Suite)에서 발견된 제로데이 크로스 사이트 스크립팅(XSS) 취약점(CVE-2025-27915)이 현재 활발하게 악용되고 있다고 경고했다.

이 결함은 ZCS의 클래식 웹 클라이언트 구성 요소에 존재하며, 캘린더 서비스에 쓰이는 ICS 파일의 HTML 콘텐츠를 제대로 처리하지 못하는 데서 발생한 것이라고 CISA는 밝혔다.


[자료: 짐브라]

공격자는 이 취약점을 이용해 악성코드가 삽입된 ICS 항목이 포함된 이메일 메시지를 사용자가 ‘보기만 해도’ 자동 실행되도록 할 수 있다. 단순히 이메일을 보는 행위만으로 인증된 사용자의 세션 권한을 탈취해 임의의 코드를 실행할 수 있는 것이다.

해커가 조작한 ICS 항목이 포함된 이메일을 보내면, 사용자가 열람하는 순간 ‘details’ 태그 내 ‘ontoggle’ 이벤트 핸들러를 통해 악성 자바스크립트 코드가 자동 실행된다. 별도의 클릭이나 다운로드가 필요 없다는 뜻이다.

이를 통해 악성 필터를 만들어 사용자에게 오는 모든 이메일을 공격자 주소로 몰래 자동 전달시켜 지속적으로 감시하며 데이터를 탈취할 수 있다.

CISA는 해당 취약점의 공통취약점평가시스템(CVSS) 점수를 중간 수준인 5.4점으로 지정했지만, 실제 공격에 악용되고 있다는 점 때문에 즉각 대응을 경고했다.

[김형근 기자(editor@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>