각종 OS의 구성 요소들에서 발견된 취약점들 수십 개 해결해
웹킷 요소에 특히 취약점 많아...공격 성공 시 권한 상승, 원격 코드 실행 등 가능

[보안뉴스 문가용 기자] 애플이 이번 주 보안 패치를 발표했다. 꽤나 많은 취약점들이 이번 패치를 통해 다뤄졌는데, 이 중에는 임의 코드 실행으로까지 이어지는 것이 있어 사용자의 시급한 업데이트 적용이 필요할 것으로 보인다.


[이미지 = iclickart]

맥OS 카탈리나의 경우 10.15.4 버전이 새롭게 발표됐는데, 전작들에서 발견된 버그 총 27개가 해결되었다고 한다. 취약점들은 블루투스, 콜 히스토리(Call History), 코어파운데이션(CoreFoundation), 페이스타임(FaceTime), 커널(Kernel), libxml2, 메일(Mail), 수도(sudo), 타임머신(Time Machine) 등과 같은 요소들에서 고루 발견됐다.

이 취약점들을 패치하지 않을 경우, 공격자들이 익스플로잇을 통해 시스템 및 커널 권한을 획득한 후 임의 코드를 실행하거나 커널 메모리를 추출할 수 있게 된다. 즉 권한 상승 공격과 민감한 정보 유출 공격, 메모리 노출, 코드 서명 우회 공격 등이 가능하게 되는 것이다.

이번에 발견된 취약점들의 대부분은 맥OS 카탈리나 10.15.3 버전에서 발견된 것이지만, 일부는 하이 시에라 10.13.6과 모하비 10.14.6에서도 나타나는 것이라고 애플은 보안 권고문을 통해 설명했다. 언급된 모든 맥OS 버전의 패치 버전도 이번에 함께 발표됐다.

iOS 13.4와 iPadOS 13.4 버전도 새롭게 공개됐는데, 전작들에서 나온 30개의 취약점들이 해결된 상태라고 한다. 이 취약점들은 액션킷(ActionKit), 블루투스, 코어파운데이션, 아이콘(Icons), 이미지 프로세싱(Image Processing), 커널, libxml2, 메일, 메일 어태치먼트(Mail Attachments), 메시지, 사파리(Safari), 웹 앱(Web App), 웹킷(WebKit)과 같은 요소들에서 발견됐다.

이 취약점들을 익스플로잇 하는 데 성공할 경우 공격자는 다음과 같은 결과를 얻어갈 수 있다.
1) 블루투스 트래픽 가로채기
2) 권한 상승
3) 임의 코드 실행
4) 접근이 제한된 메모리 노출
5) 민감한 정보 노출
6) 애플리케이션 간 충돌 유발

가장 많은 취약점이 발견된 요소는 웹킷이었다. 총 9개의 웹킷 취약점들이 이번 패치로 해결됐다. 공격자들이 익스플로잇에 성공할 경우 제한된 메모리 영역을 읽고 원격 코드를 실행할 수 있게 되며, 경우에 따라 XSS 공격을 감행할 수도 있게 된다고 애플은 경고했다.

tvOS 13.4 버전에서는 20개의 취약점이 다뤄졌다. 이 중 9개는 바로 위에서 언급한 웹킷 취약점들이고, 나머지는 액션킷, 애플모바일파일인테그리티(AppleMobileFileIntegrity), 아이콘, 이미지 프로세싱, IOHID패밀리(IOHIDFamily), 커널, libxml2, 웹킷 페이지 로딩(WebKit Page Loading)에서 발견됐다.

watchOS 6.2를 통해 애플은 17개의 취약점들을 제거했다. 네 개는 웹킷에서 나왔다. 그 외에는 액션킷, 애플모바일파일인테그리티, 코어파운데이션, 아이콘, 이미지 프로세싱, IOHID패밀리, 커널, libxml2, 메시지에서 나타났다고 애플은 권고문을 통해 밝혔다.

사파리 13.1 버전은 11개의 보안 취약점을 해결한 것으로, 웹킷의 9개 취약점 모두 여기에 포함되어 있다. 나머지 두 개는 사파리 다운로드(Safari Downloads)와 웹킷 페이지 로딩 요소에서 발견된 것이다. 맥OS 모하비와 맥OS 하이 시에라, 맥OS 카탈리나용 업데이트 버전이 공개되어 있어, 각 OS 사용자들이 적절하게 선택해 업그레이드를 진행하면 된다.

윈도우용 아이튠즈 12.10.5도 이번에 공개됐다. 13개의 취약점이 해결된 버전이며, 이 취약점들은 웹킷의 취약점 9개 전부와 libxml2, 웹킷 페이지 로딩 요소에서 발견된 취약점 4개를 포함하고 있다. 엑스코드(Xcode) 11.4 버전도 새롭게 발표됐다.

3줄 요약
1. 애플, 자사 소프트웨어와 펌웨어 업데이트 발표하며 다량의 취약점 해결.
2. 취약점 통해 원격 코드 실행과 권한 상승, 제한된 메모리 영역 침범하는 것 가능함.
3. 웹킷(WebKit)이라는 요소에서 가장 많은 취약점이 발견됨.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>