수개월 전 구매한 제로데이...노스크립트의 보호 기능 무력화시켜
제로디움 고객들에게는 이미 공유 완료...토르 브라우저 8은 취약점 없어

[보안뉴스 문가용 기자] 익스플로잇과 취약점을 사들이는 논란의 기업 제로디움(Zerodium)이 임의의 자바스크립트 코드를 토르 브라우저에서 실행시키게 해주는 취약점을 발견해 공개했다. 토르 브라우저의 보안 설정을 최고로 올려도 소용이 없다고 한다.


[이미지 = iclickart]

제로디움의 트윗에 따르면 이 문제는 토르 브라우저에 포함된 취약점 혹은 백도어다. 그러나 실제 취약점을 내포하고 있는 건 노스크립트(NoScript)라는 요소다. 노스크립트는 파이어폭스의 확장 프로그램 중 하나로, 자바스크립트와 자바, 플래시 플러그인이 신뢰 받는 웹사이트에서만 실행되도록 설정함으로써 사용자들을 악성 스크립트로부터 보호하는 기능을 가지고 있다. 토르 브라우저는 파이어폭스를 기반으로 하고 있으며, 노스크립트를 기본 장착하고 있다.

노스크립트는 이탈리아의 개발자 죠르지오 마오네(Giorgio Maone)가 만든 것으로, 마오네는 제로디움의 발표 후 약 2시간 만에 패치를 발표했다. 노스크립트의 새로운 버전은 5.1.8.7이었다. 마오네는 패치를 발표하며 “제로디움이 발표한 취약점은 노스크립트 5 클래식 버전에만 해당되는 것”이라고 설명했다.

마오네에 의하면 이 취약점은 노스크립트 5.0.4 버전부터 발생한 것으로(2017년 5월), 브라우저 내 JSON 뷰어를 차단하는 과정에서 생겨나는 것이라고 한다. 즉 1년도 넘게 존재해왔던 취약점이라는 것이다. 토르 프로젝트 측은 이것이 토르 브라우저 내에 존재하는 제로데이 취약점이 아니라는 것을 강조했다.

“이 취약점은 노스크립트에서 발생한 버그로 토르 브라우저의 강력한 프라이버시 기능을 무력화시키는 제로데이 취약점이 아닙니다. 토르의 프라이버시 기능을 피해가게 해주는 익스플로잇은 아직 존재하지 않습니다.”

제로디움의 CEO인 샤우키 베크라(Chaouki Bekrar)는 “이 취약점을 익스플로잇 할 경우 토르 브라우저의 기본 설계가 아니라 노스크립트의 보호 장치를 걷어낸다”며 “이 경우 토르 브라우저의 옵션을 가장 강력하게 설정해두어도 소용없다”고 설명했다.

“사생활 침해와 추적에 민감한 토르 사용자들은 그 어떤 웹사이트에서도 자바스크립트가 유입되는 걸 원치 않습니다. 그래서 보안 설정을 가장 강력하게(Safest) 구성하면 자바스크립트를 차단할 수 있게 됩니다. 그런데 이번에 발표한 취약점을 익스플로잇 하면 이러한 노력이 쓸모없게 변합니다.” 그러나 이를 통해 토르 브라우저의 익명성 보호 기능에도 손상이 가는지는 확실히 말하지 않았다.

베크라는 “해당 취약점을 수개월 전 제로데이의 하나로서 구입했다”고 밝혔다. 또한 이 취약점을 정부 기관 고객들과 공유했다고도 발표했다. 그러면서 이를 “하이엔드 토르 익스플로잇”이라고 묘사했다. 그러면서 제로디움으로부터 이 익스플로잇을 사간 고객들은 범죄 및 아동 학대와 싸우는 데 이를 활용했다고 주장하기도 했다.

하지만 취약점이 공개되었다면 범죄자들 측에서도 이를 악용할 수 있지 않을까? 베크라는 이 문제에 대해 “새로 나온 토르 브라우저 8 버전에는 이 취약점이 존재하지 않는다”며 “토르 브라우저 사용자들은 버전 8로의 업그레이드를 필수적으로 해야 할 것”이라고 권고했다.

3줄 요약
1. 토르 브라우저에 포함되어 있는 노스크립트 요소에서 제로데이 취약점 발견.
2. 이를 발표한 곳은 제로데이를 사들이는 회사인 제로디움. 이미 자사 고객들과 공유를 마쳤다고 함.
3. 토르 브라우저 8 버전을 사용하면 이 문제에서 자유로울 수 있음.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>