어도비 리더 대상으로 50일 동안 실험 진행...총 53개 취약점 나와
보안 전문가들이 기피하는 실험 방법이지만, 자동화 기술로 빛 발할 수 있어

[보안뉴스 문가용 기자] 보안 전문가들이 흔히 사용되는 윈도우용 퍼징 프레임워크인 윈AFL(WinAFL)을 50일 동안 사용해 어도비 리더(Adobe Reader) 프로그램에서 53개의 새로운 취약점들을 찾아냈다.


[이미지 = iclickart]

2017년 한 해 동안 보고된 취약점들은 1만 4천여 개 정도다. 이는 꽤나 높은 수치로, 2016년 한 해 동안 발견된 취약점의 2배에 가깝다고 보안 업체 체크포인트(Check Point)는 설명한다. 이렇게 갑작스럽게 취약점의 수가 늘어난 것은 왜일까? 체크포인트는 “퍼저(fuzzer) 혹은 자동 취약점 탐지 툴의 인기가 상승한 때문”이라고 보고 있다.

퍼저는 새롭게 탄생한 신기술이 아니다. 이미 20년도 넘게 사용되어 온 툴이다. 하지만 최근 들어서야 쓸 만해진 성능을 갖추게 되었다. 보안 업체 포티넷(Fortinet)의 데렉 맨키(Derek Manky)는 “2019년엔 인공지능을 탑재한 퍼징이 떠오르기 시작할 것”이라고 예상하고 있다. 그렇게 된다면 제로데이 취약점을 찾는 것도 더 쉬워지고, 따라서 소프트웨어나 하드웨어를 더 단단히 보호할 수 있을 것으로 보인다.

사이버 위협을 전문적으로 연구하는 사람들은 연구실 환경에서 퍼징을 자주 사용해 새로운 취약점들을 찾아낸다. 인터페이스나 프로그램에 일부러 부적절한 데이터나 랜덤 데이터를 주입시켜 시스템 마비를 유발하는 것을 퍼징이라고 한다. “이 과정에서 메모리 유출이나, 문서로 기록되지 않은 반응들, 디버그 절차, 코드 입력 실패 등이 발생할 수 있습니다. 그걸 잡아내는 게 목적입니다.”

하지만 보안 전문가들은 퍼저를 잘 사용하지 않는다. 귀찮다고 여기기 때문이다. 체크포인트는 퍼저를 50일 동안 사용해봄으로써, 이 귀찮은 도구를 통해 발견할 수 있는 기본적이고 쉬운 취약점들을 우리가 얼마나 놓치고 있는지를 알아내고 싶었다고 한다. 그 결과 어도비 리더에서만 50개가 넘는 새로운 취약점들이 나타났다. “하루에 하나 이상 발견한 건데요, 솔직히 흔히 경험할 수 있는 속도는 아니었습니다.”

체크포인트가 실험을 위해 사용한 건 윈AFL이라는 도구로 흔히 사용되는 윈도우 퍼징 프레임워크 중 하나다. 특별히 성능이 좋은 퍼저가 아니었다는 것이다. 체크포인트는 “전혀 특별할 것 없는 실험”이었다고 설명한다.

윈AFL은 AFL의 변종으로, 구글 프로젝트 팀의 이반 프라트락(Ivan Fratric)이 개발한 것이다. 보안 전문가들이 이 툴을 활용함으로써 공개되지 않은 바이너리를 점검할 수 있도록 해두었다. 특히 파일 유형의 버그를 찾아내는 데 좋은 효율을 보인다.

“퍼저를 실행한다는 건 그리 어려운 일이 아닙니다. 순서만 제대로 지키면 되는 것이죠. 1) 퍼저를 실행하고, 2) 영향력의 범위와 시스템 마비 현상을 확인하고, 3) 왜 그런 현상들이 발생했는지 조사하고, 4) cmin 프로세스를 시작하고, 5) 1~4번까지를 반복하면 됩니다.” 퍼저들의 상태를 모니터링하고 확인하는 봇을 사용하면 조금 더 간편해질 수 있습니다.“

그러면서 체크포인트는 “퍼저는 자동화 기술과 궁합이 정말로 좋다”며 “최근의 자동화 기술 발전 덕분에 퍼징 사용이 예전처럼 귀찮은 일이 아니게 되었음을 보안 전문가들이 이해하길 바란다”고 강조했다. “그 동안의 그 귀찮고 지겨웠던 퍼저가 아닙니다.”

체크포인트는 이 실험을 통해 찾아낸 53개 버그들을 어도비 측에 알렸고, 이 취약점들은 전부 CVE 번호를 부여 받아 정리되었다.

3줄 요약
1. 퍼저, 일부러 잘못된 입력값 대입해 소프트웨어와 하드웨어 마비시키는 기법.
2. 귀찮은 방법이라 보안 전문가들이 대게 기피하는 방법.
3. 하지만 자동화 기술과 접목하면 효과적인 취약점 발굴 방법 될 수 있음.
[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>