삼성이 올해 5월 발표한 보안 업데이트 내용 중 매우 심각한 취약점이 포함되어 있습니다.
그것은 바로 SVE-2020-16747 취약점 번호가 할당된 qmg 이미지 코덱 취약점이며, qmg 이미지 파일을 해석하는 과정에서 코드 상의 문제가 있어 이를 악용할 시 삼성 갤럭시폰이 해킹당할 수 있습니다. 하지만 보안 취약점들은 매달 공개가 되고 있는데 특별히 이 취약점이 심각한 이유는 뭘까요?
그 이유는 안드로이드에서 이미지를 처리하는 방식에 있습니다. 이미지 파일을 해석하고 폰 화면에 출력하는 역할을 하는 Skia라는 라이브러리가 있는데, 이 라이브러리는 앱에서 보이는 이미지뿐만 아니라 인터넷에서 다운로드한 이미지, MMS로 전송된 이미지 등 사용자가 보는 모든 이미지에 관여합니다.
취약점을 제보한 Mateusz Jurczyk 리서처에 따르면 삼성 갤럭시폰 메시지 앱의 경우 MMS를 수신하면 MMS의 내용을 자동으로 처리하기 시작합니다. 만약 누가 qmg 이미지 파일을 MMS로 내 갤럭시폰에 보내면, 내가 폰 화면을 보고 있지 않아도 자동으로 qmg 이미지 파일을 처리하기 시작하여 해킹될 수 있다는 얘기입니다.
이런 종류의 취약점을 이용한 해킹(익스플로잇) 0-click 익스플로잇이라고 하는데, 취약점을 이용해서 해킹을 하는데 click이 필요하지 않다, 즉 사용자의 행위가 필요하지 않다는 것입니다. 우리가 일상생활에서 흔히 접하는 스미싱이나 스팸메일과 비교하면 이해가 쉽습니다. 스미싱이나 스팸메일의 경우 장황하게 글로 어떤 링크나 파일을 다운로드하여서 실행을 해보라고 하죠? 이렇게 사람이 링크를 클릭하거나 파일을 실행하는 등의 행위를 해야만 해킹을 당하는 경우 이는 사용자의 마우스 click이 필요하기 때문에 0-click 익스플로잇이 아닙니다. 이 경우 보안에 신경 쓰는 사람들은 링크나 파일을 실행하지 않기 때문에 해킹이 성공할 가능성은 낮고 따라서 가치가 떨어집니다.
위 내용을 단 한 문장으로 요약하면,
"누군가 내 전화번호를 알면 MMS를 보내 갤럭시 폰을 해킹할 수 있다"
더 큰 문제는 qmg 이미지 파일은 삼성 갤럭시폰에서만 지원되는 파일이며, 약 안드로이드 4.4.4부터 (2014년 하반기)부터 탑재된 것으로 알려져 있습니다. 즉 2014년 이후 출시된 갤럭시폰들은 해킹당할 수 있습니다.
아래 동영상은 제보한 리서처가 유튜브에 올린 해킹 시연 영상입니다.
오른쪽 화면이 갤럭시 폰 화면이고, 좌측 상단 화면에서 MMS 메시지를 전송하는 프로그램을 실행합니다.
해킹이 성공하면 좌측 하단 화면에 폰을 제어할 수 있는 명령 창이 뜹니다.
제 블로그의 다른 포스팅에서 다뤘듯이 아이폰 안드로이드 구분 없이 0-Click에 익스플로잇에 대한 관심이 높아지고 있습니다. 이렇게 보안 취약점을 사전에 발견하여 삼성 측에서 수정할 수 있도록 하는 연구도 많이 진행되고 있지만 반대로 실제 어떤 대상을 해킹하기 위한 사이버 무기 개발 연구도 활발히 이뤄지는 것을 알 수 있습니다.
일반 PC와 모바일폰은 저장하고 있는 데이터의 가치가 다릅니다. 모바일폰에는 사진, 지인 연락처, 문자 메시지 등 개인적인 데이터가 많기 때문에 외부로 유출될 경우 발생하는 피해가 더 클 수 있습니다.
갤럭시폰을 사용하고 계신 분들은 신속하게 보안 업데이트를 설치하시길 바랍니다.
참고 링크
https://twitter.com/j00ru/status/1258066559765004295?s=20
http://www.security.samsungmobile.com/securityUpdate.smsb
'Security' 카테고리의 다른 글
| 2020 국감에서 해킹이 이슈? (0) | 2020.10.29 |
|---|---|
| 북한 해커들이 정말 월드 클래스 일까? (0) | 2020.06.21 |
| unc0ver jailbreak (아이폰 탈옥) 공개! iOS 13.5 버전 가능 (0) | 2020.05.25 |
| 아이폰으로 메일만 받아도 폰이 해킹된다고? (4) | 2020.05.03 |
