안전에 초점을 둔 웹 브라우저, 이번 달 정기 패치는 비교적 덜 심각
메모리 변경 취약점 통해 원격 코드 실행으로 이어질 수 있는 가능성 차단

[보안뉴스 문가용 기자] 모질라(Mozilla)가 파이어폭스 브라우저 최신 버전을 발표했다. 원격에 있는 공격자가 시스템에 침투할 수 있게 해주는 고위험군 취약점이 이 버전을 통해 해결되었다고 한다. 최신 버전은 파이어폭스 73과 파이어폭스 ESR 68.5이다.


패치된 취약점은 총 6개로, 대부분이 고위험군에 속하는 것으로 분석됐다. 모질라는 보안 불레틴을 통해 그 중 두 가지 고위험군 취약점 모두 “브라우저 엔진 내 메모리 안전 기능과 관련된 버그”라고 묘사했다. 이 두 취약점의 현황은 다음과 같다.
1) CVE-2020-6800 : 파이어폭스 72를 통해 이미 패치됐으나, 파이어폭스 ESR은 이번 68.5 버전을 통해서 패치됐다.
2) CVE-2020-6801 : 파이어폭스 73과 파이어폭스 ESR 68.5 버전을 통해 패치됐다.

모질라가 말하는 메모리 안전(memory safety) 기능은, 버퍼 오버플로우처럼 소프트웨어들에서 발견되는 메모리 관련 취약점들로부터 시스템을 보호해주는 장치이다. IBM의 엑스포스(X-Force) 팀이 분석한 바에 의하면 “원격의 공격자들이 특수하게 조작한 웹 페이지로 피해자를 유도함으로써 위 두 가지 취약점들 중 하나를 익스플로잇 할 수 있다”고 발표했다. 또한 이를 통해 “임의 코드를 실행하거나 서비스 마비 상태를 일으킬 수 있다”고 덧붙였다.

파이어폭스 73 버전을 통해 해결된 CVE-2020-6796도 고위험군 취약점인 것으로 나타났다. CVSS 기준으로 8.8점을 받았다. 메모리에 입력된 변수의 바운드(bounds)를 정확하게 확인하지 않기 때문에 나타나는 취약점이라고 한다. 역시 특수하게 조작된 웹 페이지로 피해자를 유도함으로써 익스플로잇이 가능하다고 하며, 임의의 코드를 실행시키거나 서비스 마비 상태를 일으킬 수 있게 된다.

고위험군과 중위험군 사이에 애매하게 걸친 취약점도 있다. CVE-2020-6799로, 이번 파이어폭스 73을 통해 해결된 임의 코드 실행 취약점이다. 다른 애플리케이션을 통해 들어온 PDF 링크를 열 때 발동될 수 있다고 한다. 역시 피해자를 특수하게 조작된 웹 페이지로 유도함으로써 공격을 실시할 수 있다. IBM의 엑스포스 팀은 이를 ‘고위험군’으로 분류했고, 모질라는 ‘중위험군’으로 분류했다.

나머지 두 개는 중위험군에 속하는 취약점으로, 다음과 같다.
1) CVE-2020-6798 : 템플릿 태그의 취약점으로 자바스크립트 주입을 가능하게 해준다.
2) CVE-2020-6797 : 확장 프로그램을 통해 임의의 앱을 피해자 컴퓨터에서 실행시킬 수 있게 해준다.

파이어폭스 사용자들이라면 최신 버전을 여기(https://www.mozilla.org/ko/firefox/download/thanks/)서 다운로드 받을 수 있다. 하지만 제로패치(0patch)의 보안 소프트웨어를 사용하고 있다면 파이어폭스 73과 충돌을 일으킬 수 있다고 파이어폭스는 경고하기도 했다. 해당 문제는 다음 버전을 통해 해결할 것이라고 한다.

선더버드(Thunderbird) 68.5.0도 새 파이어폭스와 함께 공개됐다. 모질라 재단(Mozilla Foundation) 산하의 MZLA 테크놀로지스 코퍼레이션(MZLA Technologies Corporation)이 선더버드의 소유권을 완전히 가져간 이후 공개된 첫 버전이다. 선더버드 68.5.0 버전에서는 중위험군과 저위험군 취약점 6개가 패치됐다.

3줄 요약
1. 모질라, 파이어폭스의 새 버전 발표함.
2. 이번 버전은 73으로, 6가지 취약점이 해결되었음. 2~3개의 고위험군 취약점이 포함됨.
3. 선더버드도 함께 발표. 6가지 중~저위험군 취약점이 해결됨.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>