원격 시스템 크래시 및 코드 실행 가능케 하는 취약점
6월 8일 패치 배포 완료...공격 성공시키기 쉬워 위험

[보안뉴스 문가용 기자] 웹용 스카이프(Skype for Web)에서 원격 코드 실행 및 시스템 셧다운까지 시키게 해주는 치명적인 취약점이 발견됐다. 마이크로소프트는 서둘러 해당 취약점을 패치했으나, 아직 패치를 하지 않은 스카이프 사용자들에게는 여전한 위협거리로 남아있다.


보안 업체인 벌너러빌리티랩(Vulnerability Lab)의 벤자민 쿤즈 메이리(Benjamin Kunz Mejri)는 컨퍼런스 콜 기능을 활용하다가 최초로 해당 취약점을 발견했다고 한다. 7.2 버전, 7.35 버전, 7.36 버전 모두 이 취약점에 노출되어 있다. 취약점 등급을 매기는 CVSS 점수 시스템으로는 7.2점을 받아 꽤나 심각한 수준인 것이 인정되기도 했다.

이 취약점은 CVE-2017-9948로, 스택 버퍼 오버플로우 취약점인 것으로 밝혀졌으며 로컬 및 원격 스카이프 사용자들 모두에게 치명적인 악영향을 발휘할 수 있다고 한다. 공격자들은 활성화되어 있는 소프트웨어 프로세스의 레지스터를 덮어쓰기 요청함으로써 간단히 스카이프를 마비시킬 수 있다. 또한 임의의 악성 코드를 실행시킬 수도 있으며, 스카이프를 통해 다른 시스템에도 영향을 끼칠 수 있다.

또한 이 취약점은 윈도우 8(x86) OS의 다이내믹 링크 라이브러리인 MSFTEDIT.DLL에도 영향을 주며, “스카이프의 ‘클립보드 포맷’ 함수에 있다고” 벌너러빌리티랩 측은 공개했다. 공격자 입장에서는 권한이 낮은 스카이프 계정만 있어도 공격을 성공시킬 수 있다고 했으며, 피해자의 특별한 행동을 유발시킬 필요도 없다고 한다.

마이크로소프트는 “최신 버전으로 패치할 경우 걱정할 게 없는 문제”라고 설명한다. “스카이프 최신 버전 사용자는 자동으로 보호가 됩니다. 그것이 최적의 보안 조치이기도 하니, 사용자들께 패치를 권고하고 있습니다.” 이 취약점은 5월 16일 마이크로소프트 측에 보도됐으며, 6월 8일 패치가 배포됐다.

벌너러빌리티랩은 이번 취약점에 대한 영상도 만들어 배포하고 있다. 여기서 열람이 가능하다.
[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>