유명 미디어 플레이어들 해킹 취약점에 노출

CVE-2018-4013: LIVE555 Streaming Media Library의 RCE 취약점

LIVE555는 인터넷 연결을 통해 MPEG, H.264, H.265, JPEG, AAC, AC-3를 비롯해 다양한 동영상, 사운드, 이미지 등 멀티미디어 파일의 실시간 스트리밍을 담당하는 라이브러리이다. VLC, Mplayer 등 많은 media player 소프트웨어와 전용 재생 기기에 사용된다.

시스코 탈로스가 발견한 이 취약점은 LIVE555의 RTSP(Real Time Streaming Protocol) 기능이 http 패킷을 잘못 해석하는 데에 있다. 해커가 특수하게 조작된 http packets을 보내면 버퍼 오버플로우를 일으켜 임의의 코드를 실행할 수 있는 상태에 빠지게 된다. 특수하게 조작된 패킷이라고 해봐야 실은 아주 간단하다.

탈로스는 이 취약점을 10.10일 개발사인 Live Networks에 알렸고, 패치는 10.17일에 배포됐다. 탈로스는 패치 발표 다음날에 취약점을 대중에 공개했다.

VLC Media Player 등 많은 앱과 기기 위험

이렇게 성급한 공개는 무책임한 처사라는 생각이 든다. 이 취약점은 단일 소프트웨어 제품에 있는 것이 아니라, 여러 소프트웨어와 기기에 사용되는 구성 요소에 있는 것이다. 미디어 플레이어 개발사가 이를 적용해 배포하는 데 시간이 걸릴 수도 있다. 일반 사용자가 직접 찾아 업데이트 하기도 쉽지 않다.

실제로 VLC media player의 공식 사이트를 보니 3.0.4 버전이 최신판이었다. 배포된 날짜나 버전 히스토리가 없어서 다른 사이트들을 뒤져봤더니 8월에 배포된 것이었다. 아직 패치가 되지 않은 것이다.

무책임한 공개

설령 Windows처럼 자동 업데이트가 되는 시스템이라도 실제 많은 기기에 적용되기까지는 시간이 걸리게 마련이다. 그런데도 패치 발표 하루만에 공개하는 것은 대부분의 사용자를 위험에 빠트리는 무책임한 짓이다.

요즘 보안업계가 취약점을 발견하여 이름을 알리는 데 혈안이 되어있다. 이번 일 뿐만 아니라 취약점을 너무 급하게 공개하는 일이 비일비재하다. 보안업계가 누구를 돕는 것인지 생각을 해봤으면 좋겠다.


참고 자료

• Critical Flaw Found in Streaming Library Used by VLC and Other Media Players