Offcanvas

보안 / 악성코드 / 애플리케이션

5억 명 사용하는 WinRAR에 새 취약점··· 6.23버전으로 업데이트 필요

2023.08.22 Lucian Constantin  |  CSO
윈도우 파일 압축 소프트웨어 WinRAR에서 새로운 취약점이 보고됐다. 공격자가 악성 코드를 실행할 수 있도록 허용하는 취약점으로, WinRAR 측은 사용자의 패치 업데이트를 권장했다.
 
ⓒ Getty Images Bank

윈도우 파일 압축 소프트웨어 WinRAR에서 RAR 파일을 열면 공격자가 임의 코드를 실행할 수 있는 취약점 2개가 발견됐다. 공격자가 임의 코드를 실행할 수 있는 이번 취약점에 대응하는 보안 업데이트가 배포됐으며, 사용자가 즉시 업데이트를 진행하도록 권장됐다. WinRAR의 RAR 아카이브 형식은 1993년 공개 이후 지금까지 여러 차례 사이버 공격에 악용된 바 있다.

악성 코드 실행을 허용하는 취약점
새로 발견된 취약점의 명칭은 CVE-2023-40477다. ‘goodbyeselene’이라는 이름을 사용하는 연구원이 이를 발견해, 보안 기업 트렌드마이크로(Trend Micro)의 제로데이 이니셔티브(ZDI) 프로그램을 통해 취약점을 보고했다. 해당 취약점은 CVSS(Common Vulnerability Scoring System) 점수 7.8점의 심각도가 높은 코드를 실행할 수 있는 것으로 알려졌다. ZDI 측은 보고서를 통해 “원격 공격자가 해당 취약점을 이용해 WinRAR 설치 과정에서 임의의 코드를 실행할 수 있다. 악성 페이지나 악성 파일을 열면 취약점 공격이 발생할 수 있기 때문에 사용자는 '클릭'에 각별히 주의해야 한다"라고 당부했다.

이번 취약점에서 발견되는 공격 유형은 WinRAR이 복구 볼륨(.REV 파일)을 처리하는 방식을 이용한 버퍼 오버플로(buffer overflow) 공격이다. 복구 볼륨은 아카이브가 여러 볼륨으로 분할될 때 WinRAR이 생성하는 특수 파일로, 볼륨 세트에서 누락되거나 손상된 파일을 소프트웨어가 재구성할 수 있도록 돕는다. 하지만 복구 볼륨에서 사용자 제공 데이터의 유효성 검사가 잘못돼 할당된 버퍼를 초과하는 메모리 액세스가 일어날 경우 문제가 발생할 수 있다. 공격자가 WinRAR 프로세스에서 해당 취약점을 악용하면 악성 코드를 실행시키는 것이 가능하다.

WinRAR을 배포하는 RARLAB 측은 취약점을 해결하기 위해 6.23버전 업데이트를 공개했다. 업데이트 릴리스 노트에는 최근 발견된 두 번째 취약점도 명시됐다. 사용자가 특수 조작된 아카이브 내 파일을 더블 클릭할 때 잘못된 파일이 실행돼 문제가 일어날 수 있는 취약점이다. 그룹IB의 위협 인텔리전스 부서 연구원 안드레이 폴로빈킨이 해당 문제를 보고했다. 다만 그가 직접 발견한 것인지 취약점이 공격에 악용될 때 확인한 것인지는 알려지지 않았다.

과거부터 RAR을 악용해 온 공격자들
RAR 아카이브 형식은 압축률이 뛰어나며 분할 아카이브를 생성하는 기능이 있어 1993년 출시 당시부터 인기를 얻었다. 네트워크가 불안정해 다운로드 파일이 쉽게 손상되던 인터넷 초창기에는 이 형식을 사용해 대용량 파일을 쉽게 이동할 수 있었다.

RAR은 독점 형식임에도 불구하고 오늘날까지 꾸준히 쓰이고 있다. 마이크로소프트는 윈도우11에서 RAR을 비롯해 7z, TAR, GZ 같은 다른 아카이브 형식을 네이티브로 지원하기 위해 테스트하고 있다. 기능이 제대로 구현되기 전까지 사용자는 아카이브를 만들거나 압축을 풀 때 WinRAR 아카이브 관리자를 사용해야 한다. WinRAR 프로그램의 개발자에 따르면 현재 사용자는 5억 명 이상으로 추산된다.

한편 RAR 아카이브 형식의 장점이 널리 알려지면서 사이버 공격자들도 이를 표적으로 삼아왔다. 공격자들은 첨부 파일이나 악성 파일로 연결되는 URL을 이메일에 심어 맬웨어를 배포했다. RAR 아카이브 형식은 암호 보호를 기본 지원하기 때문에 이메일 보안 솔루션이 아카이브를 압축 해제하거나 스캔하기 어렵다. 공격자들은 이러한 메커니즘을 악용해 맬웨어를 손쉽게 배포했다.

WinRAR 자체가 공격을 받은 경우도 있다. 2019년 익명의 공격자들이 WinRAR의 ‘.ACE’ 아카이브 형식(WinRAR은 RAR 외에도 여러 아카이브 형식을 처리할 수 있다)에서 원격 코드 실행 문제를 악용한 사례다. 당시 WinRAR 개발자는 독점 ACE 형식을 처리하는 구성 요소의 소스코드에 접근할 권한이 없었다. 따라서 WinRAR은 문제 발생 이후에 출시한 버전에서 ACE 형식에 대한 지원 자체를 중단했다. ciokr@idg.co.kr
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.