NSO에 악용되고 있는 안드로이드 제로데이 취약점

CVE-2019-2215

Android의 0-day 취약점이 실전에서 활용되고 있는 것이 밝혀졌다. NSO Group은 페가수스 스파이웨어 등 감시용 해킹 툴을 각국 정부 기관에 판매하는 회사인데, 이들이 해당 취약점을 활용하고 있었다.

이 취약점은 Android kernel의 binder driver에 있는 로컬 권한 상승(LPE, local privilege escalation) 취약점이다. 즉 안드로이드의 샌드박스 등 여러 방어 장치를 우회하여, 기기에 변경을 가하는 등 완전한 제어권을 탈취하게 되는 것이다.

모든 권한 상승 취약점이 그러하듯이, 이를 악용하려면 먼저 기기에 교두보를 확보해야 한다. 물리적으로 기기를 조작하거나, 가짜 앱을 설치하도록 유도하거나, 다른 원격 코드 실행(RCE, remote code execution) 취약점을 이용해 원격으로 악성코드를 설치하든가 해야 한다. 이렇게 설치된 악성코드가 운영체제의 방어 장치를 돌파하여, 기기에 중요한 변경을 가할 수 있도록 하는 것이 권한 상승 취약점이다.

최근의 사례들을 보면, 크롬 브라우저와 왓츠앱(WhatsApp)의 원격 코드 실행 취약점이 많이 악용되고 있다.

이 취약점은 2017년 말에 이미 패치가 된 것인데, 어쩐 일인지 2018년 가을 이전에 출시된 대부분의 안드로이드 스마트폰이 취약하다고 한다. 심지어 안드로이드 9, 10을 설치한 구글 픽셀 1, 2도 취약하다는 것이 확인됐다.

안드로이드 업데이트가 구글에 의해 일괄적으로 수행되지 않는 한, 이런 일은 또 일어날 것이다. 윈도우의 경우, PC 제조사에 관계 없이 마이크로소프트가 보안 업데이트를 전적으로 담당하고 있다.


참고 자료

1. Actively Exploited Android Zero-Day Impacts Google, Samsung Devices