2020-03-01과 2020-03-05로 나뉜 보안 패치...치명적 취약점 다량 포함
권한 상승, 정보 노출, 코드 실행 공격 가능케 해주는 취약점들이 대부분

[보안뉴스 문가용 기자] 구글이 2020년 3월의 정기 보안 패치를 발표했다. 70개가 넘는 안드로이드 취약점이 해결됐는데, 이 중에는 미디어 프레임워크에서 발견된 치명적 위험도의 취약점도 포함되어 있다.


[이미지 = iclickart]

이 치명적인 취약점인 CVE-2020-0032로, 원격 코드 실행을 유발케 하며 안드로이드 8.0, 8.1, 9, 10 버전에 영향을 준다고 한다. 구글의 보안 권고문에 의하면 “특수하게 조작된 파일을 통해 원격의 공격자가 임의의 코드를 권한 높은 프로세스에서 실행할 수 있게 된다”고 한다.

미디어 프레임워크에는 고위험군에 속하는 취약점도 두 개 있었다.
1) CVE-2020-0033 : 권한 상승 취약점, 안드로이드 8.0, 8.1, 9에서 나타남.
2) CVE-2020-0034 : 정보 노출 취약점, 안드로이드 8.0, 8.1에서 나타남.

프레임워크 요소에서 발견된 취약점은 딱 하나로, CVE-2020-0031이다. 고위험군으로 분류됐으며, 정보를 노출시킨다는 특징을 가지고 있다. 인드로이드 10에서만 문제가 발동될 수 있다.

2020-03-01 보안 업데이트의 나머지 7개 패치는 시스템 요소에 있는 것으로 나타났으며, 전부 고위험군으로 분류됐다. 2개는 권한 상승 취약점이고 5개는 정보 노출 취약점이라고 한다. 여기까지가 이번 달 정기 패치의 첫 번째 부분이다.

두 번째는 2020-03-05 보안 패치로, 60개의 취약점을 다루고 있다. 시스템, 커널, FPC, 미디어텍(MediaTek), 퀄컴, 퀄컴 클로스드소스 요소들에서 고루 발견되었다. 시스템 요소에서 발견된 취약점은 CVE-2019-2194로, 권한을 상승시키며 안드로이드 9에 영향을 미친다.

커널 요소에서 발견된 취약점은 총 4개이며, 전부 권한을 상승시킨다. FPC 요소에서 발견된 취약점은 6개이며 3개는 고위험군으로, 나머지 3개는 중간 위험군으로 분류됐다. 고위험군 취약점 3개는 권한 상승을 유발하고, 중간 위험군 3개는 정보 노출을 유발한다.

퀄컴 요소들에서 발견된 취약점들은 전부 고위험군으로 분류되며, USB, WLAN, 오디오, 그래픽스에 영향을 주는 것으로 밝혀졌다. 퀄컴 클로스드소스 요소들에서 발견된 취약점은 총 40개로, 이 중 16개가 치명적 위험도를 가진 것으로 나타났다. 나머지는 전부 고위험군이다.

2020-03-05의 마지막 취약점은 미디어텍 요소에서 발견된 고위험군 버그로, 권한 상승을 일으킨다고 한다. CVE-2020-0069라는 번호가 붙었으며, 미디어텍 명령 대기 행렬(Mediatek Command Queue) 드라이버와 관련이 깊다.

그 외에도 구글은 픽셀 핸드폰에서 발견된 취약점들에 대한 보안 권고문도 발표했다. 총 50개의 취약점이 해결되었는데 3개는 프레임워크, 4개는 미디어 프레임워크, 16개는 시스템, 24는 커널, 4개는 퀄컴, 2개는 퀄컴 클로스드소스 요소들에서 발견되었다. 원격 코드 실행, 권한 상승, 정보 노출 등의 공격을 가능케 하는 취약점들인 것으로 밝혀졌다. 대부분은 중간 위험군으로 분류됐다.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>