안드로이드 취약점 아닌 삼성 장비만의 고유한 취약점이 19개...2개는 치명적
큐램소프트라는 서드파티 개발사의 이미지 포맷인 qmg 처리 부분이 문제가 돼

[보안뉴스 문가용 기자] 삼성이 자사가 개발한 안드로이드 기반 스마트폰들을 위한 보안 업데이트를 발표했다. 이번에 해결된 취약점들 중에는 2014년 이후에 제조된 모든 장비들에 영향을 주는 치명적 위험도의 취약점도 포함되어 있다.


[이미지 = iclickart]

구글이 발표한 안드로이드 패치에 더해 삼성 장비에서만 발견된 19개의 취약점에 대한 패치도 발표됐다. 이 19개 중에는 2개의 치명적인 취약점도 포함되어 있는데, 하나는 보안 부트로더, 다른 하나는 큐램(Quram) 라이브러리에서 발견됐다고 한다.

첫 번째 취약점은 힙 기반 버퍼 오버플로우 취약점으로, 익스플로잇에 성공할 경우 공격자들은 보안 부팅을 피해 임의의 코드를 실행할 수 있게 된다. 삼성은 “적절한 확인을 통해 버그를 해결했다”라는 말 외에 취약점에 대한 기술적 정보를 제공하지 않고 있다.

두 번째 취약점은 메모리 덮어쓰기를 유발하는 문제로, 익스플로잇에 성공할 경우 임의의 코드를 원격에서 실행할 수 있게 된다. 이 취약점은 큐램 내 qmg 라이브러리에서 발견된 것으로 알려져 있다.

이 두 가지 취약점은 2014년 이후 삼성이 출시한 모든 스마트폰에서 발견됐다. 그 당시 삼성이 qmg라는 이미지 포맷을 지원하기 시작했기 때문이다. qmg는 한국의 큐램소프트(Quramsoft)라는 회사가 고안한 서드파티 포맷이다.

이번에 패치된 qmg의 취약점은 구글 프로젝트 제로(Google Project Zero) 팀의 보안 전문가인 마테우스 주르직(Mateusz Jurczyk)이 발견했다. 그가 발표한 영상 시연에 따르면 이 취약점은 악성 MMS를 전송함으로써 익스플로잇이 가능한 것으로 보인다. 사용자가 뭔가를 클릭하거나 다운로드 받지 않아도 된다. 즉 ‘제로클릭’ 취약점의 일종인 것이다.

이 영상은 여기(https://www.youtube.com/watch?v=nke8Z3G4jnc&feature=youtu.be)서 열람이 가능하다. 현재까지 공개된 건 이 영상이 전부고, 개념증명용 코드는 나와 있지 않다. 주르직은 안드로이드 10과 삼성의 디폴트 메시지 앱이 설치된 장비를 사용해 실험을 진행했다고 한다.

2014년부터 qmg 포맷을 지원했기 때문에 삼성 장비 거의 전부가(2014년 이후 출시된 제품) 이 취약점에 노출되어 있긴 하지만, qmg 포맷이 네 가지이기 때문에 그에 따라 나타나는 효과가 조금씩 달라진다. 최신 장비일수록 지원하는 버전이 많기 때문에 가장 많은 문제를 내포하고 있다고 볼 수 있다.

삼성 외 다른 안드로이드 장비에서는 이 취약점들이 존재하지 않는다.

또한 삼성은 위 두 개의 취약점 외에도 큐램 라이브러리 Jpeg 디코딩 부분에서 발견된 임의 코드 실행 취약점, 게이트키퍼 트러스트렛(Gatekeeper Trustlet)의 브루트포스 취약점, 브로드컴 블루투스 칩셋 일부에서 발견된 스푸핑 취약점 등을 패치하기도 했다.

취약점 패치와 함께 기술적 세부 사항을 공개하는 것이 보통이지만, 삼성은 그 어느 취약점에 대해서도 세부 정보를 공개하지 않았다.

3줄 요약
1. 삼성이 2014년부터 출시한 스마트폰들에서 치명적인 취약점 발견됨.
2. 큐램소프트의 qmg 이미지 지원 기능과 관련된 취약점으로, 임의 코드 실행 가능케 함.
3. 삼성은 패치는 발표했지만, 취약점들의 기술적 정보는 전혀 공개하지 않음.
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>