2019.10.07

안드로이드 '권한상승' 취약점 발견··· "지난해 가을 이전 폰 대부분 영향"

Lucian Constantin | CSO
패치하지 않은 안드로이드 기기를 해커가 완전히 제어하고 심지어 스파이웨어를 배포할 수 있는 제로데이 보안 취약점이 발견됐다. 이 보안 취약점은 안드로이드 바인더(Android Binder) 컴포넌트에서 권한 상승(privilege escalatio)이 가능한 UAF(use-after-free) 메모리 상태를 만든다.
 
ⓒ Getty Images Bank

지난 2017년 12월 리눅스 4.14 LTS 커널과 AOSP(Android Open Source Project) 3.18 커널, AOSP 4.4 커널, AOSP 4.9 커털 등에서 CVE 식별자 없이 패치됐다. AOSP는 안드로이드 코드를 유지했는데 구글을 포함한 개별 기기 업체가 이를 직접 사용하지는 않는다. 그들은 자사 기기에 맞춰 별도의 펌웨어 트리는 유지하는데 이 때문에 종종 다른 커널 버전을 사용하게 된다. 이는 곧 AOSP에서 수정된 보안 취약점을 매번 수정해 주어야 한다는 의미다. 기기 제조업체는 패치를 배포하고 자사 펌웨어 코드에 적용해야 한다. 그런데 이런 작업을 빼먹었을 때 문제가 발생할 수 있다.

구글 프로젝트 제로(Google Project Zero)의 연구자 마디 스톤의 보고서에 따르면, 안드로이드 9과 안드로이드 10 프리뷰 버전을 사용한 구글의 픽셀 2(Pixel 2)에서 이러한 취약점이 발견됐다. 화웨이 P20, 샤오미 레드미 5A, 샤오미 레드미 노트 5, 샤오미 A1, 오포 A3, 모토 Z3, 삼성 S7, S8, S9은 물론 안드로이드 오레오(Oreo)를 사용하는 LG 폰에서도 마찬가지였다. 스톤은 트위터를 통해 "이들 기기는 소스 코드 리뷰를 통해 보안 취약점을 확인한 것들이다. 2018년 가을 이전에 나온 대부분 안드로이드 기기가 보안 취약점을 가진 상태다"라고 말했다.

이 보안 취약점은 대부분의 권한 상승 문제와 마찬가지로, 루트 권한, 즉 기기에 대한 완전한 통제권을 탈취하기 위해 설치된 악의적인 애플리케이션을 통해 악용된다. 이렇게 되면 안드로이드의 보안 모델의 기반인 애플리케이션 샌드박스에서 벗어나게 된다. 스톤에 따르면 더 심각한 것은, 브라우저 렌더러 취약점과 함께 웹으로부터 직접 표적이 될 수 있다는 점이다. 이 취약점은 브라우저 샌드박스를 통해서도 접속할 수 있기 때문이다.

구글 프로젝트 제로 측은 이번 취약점의 영향을 받는 업체에 필요한 정보를 공유했다. 이를 차단하는 패치도 이미 공개됐으므로, 업체들이 자사 펌웨어에 통합해 영향을 받는 기기에 업데이트를 제공하면 된다. 구글은 돌아오는 이번 달 업데이트에서 픽셀 1과 2의 보안 취약점을 수정할 예정이다. 픽셀 3과 3a는 이번 취약점의 영향을 받지 않는다.

이 보안 취약점에 대한 조사가 계속 진행 중이지만 스톤은 이 안드로이드 보안 취약점에 대해 구글의 TAG(Threat Analysis Group)는 물론 외부 기관의 기술적인 상세 자료를 활용했다. 이 외부 기업엔 NSO 그룹(NSO Group)이 포함됐는데, 이들은 이 보안 취약점을 이용하거나 판매한 것으로 알려져 있다. 스톤은 "패치들을 비교해 영향을 받을 가능성이 검토한 결과 사용된 버그는 단 하나인 것으로 보인다"라고 말했다.

NSO 그룹은 이스라엘의 사이버 보안 업체다. 사법기관 혹은 정보기관용 감시 소프트웨어를 판매하고 있다. 지난 2016년 토론토대학의 시티즌 랩(Citizen Lab)과 모바일 보안 업체 룩아웃(Lookout)의 연구팀은 NSO의 합법적 감청 소프트웨어, 일명 페가수스(Pegasus)가 UAE에서 인권 운동가 사찰에 사용됐다고 주장했다. iOS 제로데이 보안 취약점 3개를 사용한 트라이던트(Trident)라는 스파이웨어도 판매했다. 더 최근인 올해 5월에는 페가수스를 배포하기 위해 왓츠앱(WhatsApp)의 보안 취약점을 악용했다는 파이낸셜 타임스가 보도했다.

NSO 그룹의 대변인은 새 안드로이드 보안 취약점에 대한 이메일 인터뷰를 통해 "NSO는 과거에 보안 취약점을 절대 거래하지 않았고 앞으로도 마찬가지다. 이번 취약점은 NSO와 전혀 관계가 없다. 우리는 합법적 정보기관과 사법기관이 사람을 보호하는 것을 돕는 제품을 개발하는 데 집중하고 있다"라고 말했다. 스톤은 보고서를 통해 구글 프로젝트 제로가 이 보안 취약점의 샘플을 가지고 있지 않다고 설명했다. 그는 "샘플이 없어 이번 취약점의 위험성이나 활용 내역 등을 최종적으로 확인할 수 없었다"라고 말했다. ciokr@idg.co.kr



2019.10.07

안드로이드 '권한상승' 취약점 발견··· "지난해 가을 이전 폰 대부분 영향"

Lucian Constantin | CSO
패치하지 않은 안드로이드 기기를 해커가 완전히 제어하고 심지어 스파이웨어를 배포할 수 있는 제로데이 보안 취약점이 발견됐다. 이 보안 취약점은 안드로이드 바인더(Android Binder) 컴포넌트에서 권한 상승(privilege escalatio)이 가능한 UAF(use-after-free) 메모리 상태를 만든다.
 
ⓒ Getty Images Bank

지난 2017년 12월 리눅스 4.14 LTS 커널과 AOSP(Android Open Source Project) 3.18 커널, AOSP 4.4 커널, AOSP 4.9 커털 등에서 CVE 식별자 없이 패치됐다. AOSP는 안드로이드 코드를 유지했는데 구글을 포함한 개별 기기 업체가 이를 직접 사용하지는 않는다. 그들은 자사 기기에 맞춰 별도의 펌웨어 트리는 유지하는데 이 때문에 종종 다른 커널 버전을 사용하게 된다. 이는 곧 AOSP에서 수정된 보안 취약점을 매번 수정해 주어야 한다는 의미다. 기기 제조업체는 패치를 배포하고 자사 펌웨어 코드에 적용해야 한다. 그런데 이런 작업을 빼먹었을 때 문제가 발생할 수 있다.

구글 프로젝트 제로(Google Project Zero)의 연구자 마디 스톤의 보고서에 따르면, 안드로이드 9과 안드로이드 10 프리뷰 버전을 사용한 구글의 픽셀 2(Pixel 2)에서 이러한 취약점이 발견됐다. 화웨이 P20, 샤오미 레드미 5A, 샤오미 레드미 노트 5, 샤오미 A1, 오포 A3, 모토 Z3, 삼성 S7, S8, S9은 물론 안드로이드 오레오(Oreo)를 사용하는 LG 폰에서도 마찬가지였다. 스톤은 트위터를 통해 "이들 기기는 소스 코드 리뷰를 통해 보안 취약점을 확인한 것들이다. 2018년 가을 이전에 나온 대부분 안드로이드 기기가 보안 취약점을 가진 상태다"라고 말했다.

이 보안 취약점은 대부분의 권한 상승 문제와 마찬가지로, 루트 권한, 즉 기기에 대한 완전한 통제권을 탈취하기 위해 설치된 악의적인 애플리케이션을 통해 악용된다. 이렇게 되면 안드로이드의 보안 모델의 기반인 애플리케이션 샌드박스에서 벗어나게 된다. 스톤에 따르면 더 심각한 것은, 브라우저 렌더러 취약점과 함께 웹으로부터 직접 표적이 될 수 있다는 점이다. 이 취약점은 브라우저 샌드박스를 통해서도 접속할 수 있기 때문이다.

구글 프로젝트 제로 측은 이번 취약점의 영향을 받는 업체에 필요한 정보를 공유했다. 이를 차단하는 패치도 이미 공개됐으므로, 업체들이 자사 펌웨어에 통합해 영향을 받는 기기에 업데이트를 제공하면 된다. 구글은 돌아오는 이번 달 업데이트에서 픽셀 1과 2의 보안 취약점을 수정할 예정이다. 픽셀 3과 3a는 이번 취약점의 영향을 받지 않는다.

이 보안 취약점에 대한 조사가 계속 진행 중이지만 스톤은 이 안드로이드 보안 취약점에 대해 구글의 TAG(Threat Analysis Group)는 물론 외부 기관의 기술적인 상세 자료를 활용했다. 이 외부 기업엔 NSO 그룹(NSO Group)이 포함됐는데, 이들은 이 보안 취약점을 이용하거나 판매한 것으로 알려져 있다. 스톤은 "패치들을 비교해 영향을 받을 가능성이 검토한 결과 사용된 버그는 단 하나인 것으로 보인다"라고 말했다.

NSO 그룹은 이스라엘의 사이버 보안 업체다. 사법기관 혹은 정보기관용 감시 소프트웨어를 판매하고 있다. 지난 2016년 토론토대학의 시티즌 랩(Citizen Lab)과 모바일 보안 업체 룩아웃(Lookout)의 연구팀은 NSO의 합법적 감청 소프트웨어, 일명 페가수스(Pegasus)가 UAE에서 인권 운동가 사찰에 사용됐다고 주장했다. iOS 제로데이 보안 취약점 3개를 사용한 트라이던트(Trident)라는 스파이웨어도 판매했다. 더 최근인 올해 5월에는 페가수스를 배포하기 위해 왓츠앱(WhatsApp)의 보안 취약점을 악용했다는 파이낸셜 타임스가 보도했다.

NSO 그룹의 대변인은 새 안드로이드 보안 취약점에 대한 이메일 인터뷰를 통해 "NSO는 과거에 보안 취약점을 절대 거래하지 않았고 앞으로도 마찬가지다. 이번 취약점은 NSO와 전혀 관계가 없다. 우리는 합법적 정보기관과 사법기관이 사람을 보호하는 것을 돕는 제품을 개발하는 데 집중하고 있다"라고 말했다. 스톤은 보고서를 통해 구글 프로젝트 제로가 이 보안 취약점의 샘플을 가지고 있지 않다고 설명했다. 그는 "샘플이 없어 이번 취약점의 위험성이나 활용 내역 등을 최종적으로 확인할 수 없었다"라고 말했다. ciokr@idg.co.kr

X