Home > 전체기사
구글, 내부 보안 팀이 발견한 크롬 제로데이 취약점 패치해
  |  입력 : 2020-10-22 14:01
페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기
상세히 공개하지는 않았지만...제로데이 취약점, 이미 익스플로잇 대상
프리타입에서 발견된 제로데이...새로운 크롬 버전은 86.0.4240.111


[보안뉴스 문가용 기자] 구글이 업데이트를 통해 크롬 브라우저의 제로데이 취약점을 해결했다. 프리타입(FreeType) 폰트 렌더링 라이브러리에서 발견된 것으로 현재 해커들 사이에서 활발히 익스플로잇 되는 중이라고 한다.

[이미지 = utoimage]


구글 프로젝트 제로(Google Project Zero) 팀의 보안 전문가 세르게이 글라주노브(Sergei Glazunov)가 발견한 이 취약점은 일종의 메모리 변형 오류이며, 공식적으로는 ‘힙 버퍼 오버플로우(heap buffer overflow)’로 분류됐다. 글라주노브가 구글 측에 이를 알린 건 이번 주 월요일이었다.

화요일, 구글은 차기 크롬을 미리 실험해 보는 스테이블 채널을 통해 패치를 공개했다. 패치가 적용된 크롬 버전은 86.0.4240.111이었다. 취약점에는 CVE-2020-15999라는 번호가 붙였다. 고위험군으로 분류됐다. 구글 크롬 팀의 프루드피쿠마 보마나(Prudhivikumar Bommana)는 “이 제로데이가 이미 활발하게 익스플로잇 되고 있다는 것을 알고 있고, 그래서 시급히 패치를 준비했다”고 자사 블로그를 통해 밝혔다. 하지만 공격에 대한 상세 내용은 언급하지 않았다.

프로젝트 제로의 벤 호크스(Ben Hawkes)는 “크롬 팀이 무척이나 빠르게 대응을 한 것은 맞지만, 오히려 시간이 너무 빨랐기 때문에 해당 취약점의 다른 면모들을 간과했을 수도 있다”며 “프리타입의 새 패치만이 아니라 다른 모든 소프트웨어들도 이 참에 업데이트 하는 게 보다 더 안전할 수 있다”고 설명했다.

크롬에서의 제로데이 소식이 알려지자 여러 보안 전문가들이 트위터를 통해 “크롬 브라우저를 업데이트 하라”는 목소리를 높이기 시작했다. 그러면서 “이미 해커들이 익스플로잇 하고 있는 취약점”임을 강조했다. 그 중 런던의 애플리케이션 보안 컨설턴트인 샘 스테파냔(Sam Stepanyan)은 “오늘 크롬 업데이트하고 시스템을 재가동하세요!”라고 쓰기도 했다.

프리타입의 제로데이 외에도 구글은 네 개의 다른 취약점을 패치하기도 했다. 이 중 3개는 고위험군에 속한다. 나머지 하나는 중간급인 것으로 분석됐다. 이 취약점들은 다음과 같다.
1) CVE-2020-16000 : 고위험군, 부적절한 블링크(Blink) 구현
2) CVE-2020-16001 : 고위험군, 미디어 요소 내의 UaF
3) CVE-2020-16002 : 고위험군, PDFium 요소 내의 UaF
4) CVE-2020-16003 : 중간급, 인쇄 과정에서의 UaF

구글은 지난 12개월 동안 크롬에서 세 개의 제로데이 취약점을 패치했다. 이는 다음과 같다.
1) CVE-2019-13720, 치명적 위험도, 원격 코드 실행 취약점
2) CVE-2020-6418, 메모리 컨퓨젼 취약점

3줄 요약
1. 구글, 크롬에서 발견된 제로데이 취약점 수정.
2. 이 취약점은 해커들이 이미 활발히 익스플로잇 하고 있으므로 시급한 수정 필요.
3. 지난 12개월 동안 크롬에서 발견된 제로데이 취약점은 총 3개.

[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

  •  
  • 0
  • 페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기


  •  SNS에서도 보안뉴스를 받아보세요!! 
모니터랩 파워비즈 6개월 2020년6월22~12월 22일 까지넷앤드 파워비즈 진행 2020년1월8일 시작~2021년 1월8일까지위즈디엔에스 2018파워비즈배너 시작 11월6일 20181105-20200131
설문조사
2020년 한해 동안 가장 큰 관심을 갖고 있는 보안 분야는 무엇인가요?
인공지능(AI) 보안
비대면(언택트) 보안
데이터3법/개인정보보호
빅데이터 보안
클라우드 보안
자율주행차 보안
사물인터넷 보안
스마트시티 보안
기타(댓글로)