18세 독일 소년, 맥OS 모하비 및 이전 버전에서 제로데이 발견
키체인에 보관된 비밀번호 탈취 가능...“애플이 상금 주면 공개할 것”
[보안뉴스 문가용 기자] 한 보안 전문가가 맥OS 모하비 버전에서 제로데이 취약점을 발견했다. 이를 익스플로잇 하면 맥OS의 키체인(Keychain)으로부터 비밀번호를 평문으로 훔칠 수 있게 된다고 한다. 아직 이 오류는 애플에 보고되지도 않고, 상세하게 공개되지도 않았다.
이 보안 전문가는 독일인으로, 이름은 리누스 헨제(Linus Henze)다. 헨제는 애플 모하비 최신 버전인 10.14.3에 악성 애플리케이션을 설치하는 방법을 동영상으로 공개했다. 이를 통해 로컬의 키체인이라는 비밀번호 관리 시스템으로부터 비밀번호들을 빼내는 방법도 드러났다. 물론 세부적인 내용이 하나하나 시연된 것은 아니고, 공격 성공 시 발생하는 일이 나타나고 있다.
헨제에 의하면 “공격자에게 관리자 권한이 없더라도 악성 앱을 설치하는 게 가능하다”고 한다. 그러나 침해된 계정과 연관이 있는 키체인 내의 비밀번호만을 탈취 가능하지, 다른 계정의 키체인에 저장된 비밀번호까지 탈취할 수 있는 건 아니다. “공격이 통하는 건 잠기지 않은 키체인들 뿐입니다. 잠기게 되면 공격이 불가능하고, 보통 한 계정의 키체인은 다른 계정의 관점에서는 잠겨있기 때문에 공격이 성립되지 않습니다.”
헨제는 아직 이 취약점을 애플에 보고하지 않았다고 한다. 왜냐하면 애플이 맥OS 버그바운티 프로그램을 진행하고 있지 않기 때문이다. “애플의 버그바운티는 아이클라우드와 iOS만을 대상으로 하고 있습니다. 총 20만 달러까지 상금이 주어지긴 하는데, 맥OS에 대한 버그바운티는 아직 없습니다.”
애플은 영상이 공개된 이후 헨제에 연락을 취한 것으로 알려져 있다. “애플의 제품 보안 팀에서 연락을 주시긴 했습니다. 하지만 상금을 받을 때까지는 제가 발견한 제로데이 취약점에 대한 세부 내용을 공개하지는 않을 예정입니다.”
따라서 이 제로데이가 악의적인 공격자들 손에 악용될 가능성은, 헨제가 애플로부터 돈을 받을 때까지는 그리 높지 않을 듯하다. 스스로가 이 취약점을 틀어쥐고 있으며, 애플이 아직도 자력으로 발견할 수 없을 정도니 말이다.
그러나 2017년 맥OS 하이 시에라에서 비슷한 제로데이를 발견한 적이 있는 보안 전문가 패트릭 워들(Patrick Wardle)은 예외일 수도 있다. 그는 포브스와의 인터뷰를 통해 “헨제가 발견한 취약점은 실제로 존재하며, 익스플로잇 역시 그가 공개한 그대로 작동한다”고 밝혔다. 워들도 이 제로데이에 대해 뭔가 알아냈을 가능성이 높아진다. 사이버 범죄자들 중 누군가 이를 먼저 알아내는 게 불가능하지만은 않다는 뜻.
헨제는 “이 취약점에 영향을 받는 건 맥OS 모하비와 그 이전 버전들”이라고 힌트를 주기도 했다. 헨제는 현재 18세인 것으로 알려져 있다.
3줄 요약
1. 애플의 맥OS 모하비에서 제로데이 취약점 발견됨.
2. 취약점 익스플로잇 하면 키체인에 저장된 비밀번호 탈취 가능함.
3. 이를 발견한 18세 소년은, “애플이 현상금 줘야만 알려줄 것”이라는 입장임.
[국제부 문가용 기자(globoan@boannews.com)]
키체인에 보관된 비밀번호 탈취 가능...“애플이 상금 주면 공개할 것”
[보안뉴스 문가용 기자] 한 보안 전문가가 맥OS 모하비 버전에서 제로데이 취약점을 발견했다. 이를 익스플로잇 하면 맥OS의 키체인(Keychain)으로부터 비밀번호를 평문으로 훔칠 수 있게 된다고 한다. 아직 이 오류는 애플에 보고되지도 않고, 상세하게 공개되지도 않았다.
[이미지 = iclickart]
이 보안 전문가는 독일인으로, 이름은 리누스 헨제(Linus Henze)다. 헨제는 애플 모하비 최신 버전인 10.14.3에 악성 애플리케이션을 설치하는 방법을 동영상으로 공개했다. 이를 통해 로컬의 키체인이라는 비밀번호 관리 시스템으로부터 비밀번호들을 빼내는 방법도 드러났다. 물론 세부적인 내용이 하나하나 시연된 것은 아니고, 공격 성공 시 발생하는 일이 나타나고 있다.
헨제에 의하면 “공격자에게 관리자 권한이 없더라도 악성 앱을 설치하는 게 가능하다”고 한다. 그러나 침해된 계정과 연관이 있는 키체인 내의 비밀번호만을 탈취 가능하지, 다른 계정의 키체인에 저장된 비밀번호까지 탈취할 수 있는 건 아니다. “공격이 통하는 건 잠기지 않은 키체인들 뿐입니다. 잠기게 되면 공격이 불가능하고, 보통 한 계정의 키체인은 다른 계정의 관점에서는 잠겨있기 때문에 공격이 성립되지 않습니다.”
헨제는 아직 이 취약점을 애플에 보고하지 않았다고 한다. 왜냐하면 애플이 맥OS 버그바운티 프로그램을 진행하고 있지 않기 때문이다. “애플의 버그바운티는 아이클라우드와 iOS만을 대상으로 하고 있습니다. 총 20만 달러까지 상금이 주어지긴 하는데, 맥OS에 대한 버그바운티는 아직 없습니다.”
애플은 영상이 공개된 이후 헨제에 연락을 취한 것으로 알려져 있다. “애플의 제품 보안 팀에서 연락을 주시긴 했습니다. 하지만 상금을 받을 때까지는 제가 발견한 제로데이 취약점에 대한 세부 내용을 공개하지는 않을 예정입니다.”
따라서 이 제로데이가 악의적인 공격자들 손에 악용될 가능성은, 헨제가 애플로부터 돈을 받을 때까지는 그리 높지 않을 듯하다. 스스로가 이 취약점을 틀어쥐고 있으며, 애플이 아직도 자력으로 발견할 수 없을 정도니 말이다.
그러나 2017년 맥OS 하이 시에라에서 비슷한 제로데이를 발견한 적이 있는 보안 전문가 패트릭 워들(Patrick Wardle)은 예외일 수도 있다. 그는 포브스와의 인터뷰를 통해 “헨제가 발견한 취약점은 실제로 존재하며, 익스플로잇 역시 그가 공개한 그대로 작동한다”고 밝혔다. 워들도 이 제로데이에 대해 뭔가 알아냈을 가능성이 높아진다. 사이버 범죄자들 중 누군가 이를 먼저 알아내는 게 불가능하지만은 않다는 뜻.
헨제는 “이 취약점에 영향을 받는 건 맥OS 모하비와 그 이전 버전들”이라고 힌트를 주기도 했다. 헨제는 현재 18세인 것으로 알려져 있다.
3줄 요약
1. 애플의 맥OS 모하비에서 제로데이 취약점 발견됨.
2. 취약점 익스플로잇 하면 키체인에 저장된 비밀번호 탈취 가능함.
3. 이를 발견한 18세 소년은, “애플이 현상금 줘야만 알려줄 것”이라는 입장임.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-09-29] 
