작년 12월에 발견된 취약점…패치되지 않았던 시기에 한국 기업 해킹 공격에 악용돼
6월에 나온 패치, 9월에 불완전하다고 판명돼…그런데도 아직 MS는 패치 발표 안 해
[보안뉴스 문가용 기자] 데스크톱의 완전 장악으로 이어질 수 있는 고위험군 윈도우 제로데이 취약점이 마이크로소프트의 픽스 이후에도 여전히 위험한 상태로 남아있다고 한다. MS의 패치가 제대로 되지 않은 것이다.
이 취약점은 로컬 권한 상승을 일으키는 버그로, 윈도우 8.1과 윈도우 10에서 발견됐다. CVE-2020-0986으로, 정확히는 프린트 스풀러(Print Spooler)라는 API에 존재하는 것으로 알려져 있다. 익스플로잇에 성공할 경우 로컬의 공격자가 권한을 상승시켜 현재 사용자의 컨텍스트에서 코드를 실행시킬 수 있게 된다. 이를 통해 피해자의 시스템을 완전히 장악할 수 있다.
MS는 “윈도우 커널이 메모리 내에서 객체 처리를 제대로 하지 못해 생기는 문제”라고 발표하며 “이 문제를 익스플로잇 하는 데 성공한 공격자들은 커널 모드에서 임의의 코드를 실행시킬 수 있게 된다”고 설명했다. 이로써 공격자는 “프로그램을 설치하거나, 데이터를 열람, 변경 및 삭제할 수 있게 된다”는 설명도 있었다.
이 취약점은 CVSS를 기준으로 8.3점을 받았을 정도로 높은 위험도를 가진 것으로 분석됐다. 보안 업체 트렌드 마이크로(Trend Micro)가 제로데이 이니셔티브(Zero Day Initiative)를 통해 발견해 MS에 알렸다. 취약점이 발견되고 MS에 보고된 건 지난 12월의 일이었다. 트렌드 마이크로는 취약점의 근원에 “사용자가 제공하는 값을 미리 확인하지 않고 처리하는 특성이 있다”고 설명했다.
하지만 이 취약점에 대한 최초 패치조차도 6개월이나 이뤄지지 않았다. 보안 업체 카스퍼스키(Kaspersky)는 지난 5월 이 취약점이 한국 회사를 겨냥하여 익스플로잇 되고 있는 것을 목격했다고 발표했었다. 당시 공격자들은 인터넷 익스플로러에서 발견된 취약점과 함께 이 취약점을 연쇄적으로 익스플로잇 하고 있었다고 한다. 이 캠페인은 파워폴 작전(Operation Powerfall)이라고 불렸으며 다크호텔(Darkhotel)이 배후에 있는 것으로 보인다.
그러다가 6월 마이크로소프트가 드디어 패치를 발표했다. 윈도우 커널이 객체를 메모리 내에서 처리하는 방식을 바꾼 것이다. 하지만 구글 프로젝트 팀의 보안 전문가인 매디 스톤(Maddie Stone)이 이 패치가 불완전하다는 것을 지난 9월 증명했다. 그리고 아직도 조치를 취하지 않고 있다. 즉, 업계 내에 자리잡은 ‘취약점 발견 후 90일 내 패치 발표’라는 약속을 두 번이나 어긴 것이다.
스톤은 트위터를 통해 “MS가 6월에 발표한 패치는 제대로 취약점을 해결하지 못하고 있다”며 “MS는 처음에도 ‘90일 내 패치’라는 업계 내 마감일을 어겼는데, 이번에도 똑 같은 태도를 보이고 있다”고 비판했다. 전문가들은 MS가 1월 정기 패치를 통해 이 문제를 해결할 것으로 예상하고 있다. 하지만 공식적으로 발표가 난 사항은 없다.
3줄 요약
1. 작년 12월에 윈도우 프린터 스풀 API에서 고위험군 제로데이 취약점 발견됨.
2. 이 취약점을 6개월이나 지나서 패치한 MS, 90일 내 패치한다는 업계 내 약속 어김.
3. 그런데 이 취약점이 완전하지도 않다는 게 9월에 발견됨. MS는 아직도 침묵 중.
[국제부 문가용 기자(globoan@boannews.com)]
6월에 나온 패치, 9월에 불완전하다고 판명돼…그런데도 아직 MS는 패치 발표 안 해
[보안뉴스 문가용 기자] 데스크톱의 완전 장악으로 이어질 수 있는 고위험군 윈도우 제로데이 취약점이 마이크로소프트의 픽스 이후에도 여전히 위험한 상태로 남아있다고 한다. MS의 패치가 제대로 되지 않은 것이다.
[이미지 = utoimage]
이 취약점은 로컬 권한 상승을 일으키는 버그로, 윈도우 8.1과 윈도우 10에서 발견됐다. CVE-2020-0986으로, 정확히는 프린트 스풀러(Print Spooler)라는 API에 존재하는 것으로 알려져 있다. 익스플로잇에 성공할 경우 로컬의 공격자가 권한을 상승시켜 현재 사용자의 컨텍스트에서 코드를 실행시킬 수 있게 된다. 이를 통해 피해자의 시스템을 완전히 장악할 수 있다.
MS는 “윈도우 커널이 메모리 내에서 객체 처리를 제대로 하지 못해 생기는 문제”라고 발표하며 “이 문제를 익스플로잇 하는 데 성공한 공격자들은 커널 모드에서 임의의 코드를 실행시킬 수 있게 된다”고 설명했다. 이로써 공격자는 “프로그램을 설치하거나, 데이터를 열람, 변경 및 삭제할 수 있게 된다”는 설명도 있었다.
이 취약점은 CVSS를 기준으로 8.3점을 받았을 정도로 높은 위험도를 가진 것으로 분석됐다. 보안 업체 트렌드 마이크로(Trend Micro)가 제로데이 이니셔티브(Zero Day Initiative)를 통해 발견해 MS에 알렸다. 취약점이 발견되고 MS에 보고된 건 지난 12월의 일이었다. 트렌드 마이크로는 취약점의 근원에 “사용자가 제공하는 값을 미리 확인하지 않고 처리하는 특성이 있다”고 설명했다.
하지만 이 취약점에 대한 최초 패치조차도 6개월이나 이뤄지지 않았다. 보안 업체 카스퍼스키(Kaspersky)는 지난 5월 이 취약점이 한국 회사를 겨냥하여 익스플로잇 되고 있는 것을 목격했다고 발표했었다. 당시 공격자들은 인터넷 익스플로러에서 발견된 취약점과 함께 이 취약점을 연쇄적으로 익스플로잇 하고 있었다고 한다. 이 캠페인은 파워폴 작전(Operation Powerfall)이라고 불렸으며 다크호텔(Darkhotel)이 배후에 있는 것으로 보인다.
그러다가 6월 마이크로소프트가 드디어 패치를 발표했다. 윈도우 커널이 객체를 메모리 내에서 처리하는 방식을 바꾼 것이다. 하지만 구글 프로젝트 팀의 보안 전문가인 매디 스톤(Maddie Stone)이 이 패치가 불완전하다는 것을 지난 9월 증명했다. 그리고 아직도 조치를 취하지 않고 있다. 즉, 업계 내에 자리잡은 ‘취약점 발견 후 90일 내 패치 발표’라는 약속을 두 번이나 어긴 것이다.
스톤은 트위터를 통해 “MS가 6월에 발표한 패치는 제대로 취약점을 해결하지 못하고 있다”며 “MS는 처음에도 ‘90일 내 패치’라는 업계 내 마감일을 어겼는데, 이번에도 똑 같은 태도를 보이고 있다”고 비판했다. 전문가들은 MS가 1월 정기 패치를 통해 이 문제를 해결할 것으로 예상하고 있다. 하지만 공식적으로 발표가 난 사항은 없다.
3줄 요약
1. 작년 12월에 윈도우 프린터 스풀 API에서 고위험군 제로데이 취약점 발견됨.
2. 이 취약점을 6개월이나 지나서 패치한 MS, 90일 내 패치한다는 업계 내 약속 어김.
3. 그런데 이 취약점이 완전하지도 않다는 게 9월에 발견됨. MS는 아직도 침묵 중.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-09-26] 
.jpg)
