상세히 공개하지는 않았지만...제로데이 취약점, 이미 익스플로잇 대상
프리타입에서 발견된 제로데이...새로운 크롬 버전은 86.0.4240.111

[보안뉴스 문가용 기자] 구글이 업데이트를 통해 크롬 브라우저의 제로데이 취약점을 해결했다. 프리타입(FreeType) 폰트 렌더링 라이브러리에서 발견된 것으로 현재 해커들 사이에서 활발히 익스플로잇 되는 중이라고 한다.


구글 프로젝트 제로(Google Project Zero) 팀의 보안 전문가 세르게이 글라주노브(Sergei Glazunov)가 발견한 이 취약점은 일종의 메모리 변형 오류이며, 공식적으로는 ‘힙 버퍼 오버플로우(heap buffer overflow)’로 분류됐다. 글라주노브가 구글 측에 이를 알린 건 이번 주 월요일이었다.

화요일, 구글은 차기 크롬을 미리 실험해 보는 스테이블 채널을 통해 패치를 공개했다. 패치가 적용된 크롬 버전은 86.0.4240.111이었다. 취약점에는 CVE-2020-15999라는 번호가 붙였다. 고위험군으로 분류됐다. 구글 크롬 팀의 프루드피쿠마 보마나(Prudhivikumar Bommana)는 “이 제로데이가 이미 활발하게 익스플로잇 되고 있다는 것을 알고 있고, 그래서 시급히 패치를 준비했다”고 자사 블로그를 통해 밝혔다. 하지만 공격에 대한 상세 내용은 언급하지 않았다.

프로젝트 제로의 벤 호크스(Ben Hawkes)는 “크롬 팀이 무척이나 빠르게 대응을 한 것은 맞지만, 오히려 시간이 너무 빨랐기 때문에 해당 취약점의 다른 면모들을 간과했을 수도 있다”며 “프리타입의 새 패치만이 아니라 다른 모든 소프트웨어들도 이 참에 업데이트 하는 게 보다 더 안전할 수 있다”고 설명했다.

크롬에서의 제로데이 소식이 알려지자 여러 보안 전문가들이 트위터를 통해 “크롬 브라우저를 업데이트 하라”는 목소리를 높이기 시작했다. 그러면서 “이미 해커들이 익스플로잇 하고 있는 취약점”임을 강조했다. 그 중 런던의 애플리케이션 보안 컨설턴트인 샘 스테파냔(Sam Stepanyan)은 “오늘 크롬 업데이트하고 시스템을 재가동하세요!”라고 쓰기도 했다.

프리타입의 제로데이 외에도 구글은 네 개의 다른 취약점을 패치하기도 했다. 이 중 3개는 고위험군에 속한다. 나머지 하나는 중간급인 것으로 분석됐다. 이 취약점들은 다음과 같다.
1) CVE-2020-16000 : 고위험군, 부적절한 블링크(Blink) 구현
2) CVE-2020-16001 : 고위험군, 미디어 요소 내의 UaF
3) CVE-2020-16002 : 고위험군, PDFium 요소 내의 UaF
4) CVE-2020-16003 : 중간급, 인쇄 과정에서의 UaF

구글은 지난 12개월 동안 크롬에서 세 개의 제로데이 취약점을 패치했다. 이는 다음과 같다.
1) CVE-2019-13720, 치명적 위험도, 원격 코드 실행 취약점
2) CVE-2020-6418, 메모리 컨퓨젼 취약점

3줄 요약
1. 구글, 크롬에서 발견된 제로데이 취약점 수정.
2. 이 취약점은 해커들이 이미 활발히 익스플로잇 하고 있으므로 시급한 수정 필요.
3. 지난 12개월 동안 크롬에서 발견된 제로데이 취약점은 총 3개.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>