어도비의 PDF 리더기에서 제로데이 취약점이 발견됐다. 윈도용과 맥OS용 모두에서 발견됐는데, 윈도 사용자들을 노린 공격에 이미 익스플로잇 되고 있다고 한다. 그 외에도 일러스트레이터에서도 많은 패치가 이뤄졌다고 하니 어도비 사용자들이 참고할 만하다.

[보안뉴스 문가용 기자] 어도비의 PDF 리더 소프트웨어인 리더(Reader)에서 제로데이 취약점이 발견됐다. 치명적 위험도를 가진 것으로, 현재 해커들에 의해 활발히 익스플로잇이 이뤄지고 있다고 한다. 다행히 어도비의 5월 정기 패치를 통해 해결책이 나온 상태다. 어도비는 12개 제품에 걸쳐 43개 픽스들을 이번 달에 배포했다.


문제의 제로데이 취약점은 CVE-2021-28550으로, 윈도에서 어도비 리더를 사용하는 사람들을 노린 공격에 이미 활용되고 있는 것으로 밝혀졌다. 즉 다른 플랫폼에서 리더를 사용하는 사람들은 아직 안전한 것으로 보인다는 뜻이다. 다만 맥OS용 리더에서도 같은 취약점이 있는 것으로 나타났다.

CVE-2021-28550 취약점이 발견된 버전은 다음과 같다.
1) 윈도용 아크로뱃 DC & 리더 DC 2021.001.20150 및 이전 버전
2) 맥OS용 아크로뱃 DC & 리더 DC 2021.001.20149 및 이전 버전
3) 윈도와 맥OS용 아크로뱃 2020과 아크로뱃 리더 2020(2020.001.30020 및 이전 버전)
4) 윈도와 맥OS용 아크로뱃 2017과 아크로뱃 리더 2017(2017.011.30194 및 이전 버전)

어도비는 이 제로데이 취약점에 대한 기술 세부 사항은 발표하지 않았다. 아직 사용자들 사이에서 픽스가 보편적으로 적용되지 않았기 때문이다. 패치가 제대로 적용되지 않은 상태에서 기술 세부 내용이 공개되면 해커들에게 더 도움이 된다. 아크로뱃과 리더 사용자들의 경우 Help 메뉴에서 Check for Updates 기능을 선택해 패치를 적용할 수 있다.

그 외에 이번 정기 패치를 통해 치명적인 취약점들도 적잖이(총 10개) 공개됐다. 7개는 임의 코드 실행을 가능하게 하고, 3개는 아웃 오브 바운드 라이트(out-of-bounds write) 공격을 가능하게 한다.

제품별로 구분했을 때 어도비 일러스트레이터(Adobe Illustrator)의 패치가 가장 많았다. 5개의 치명적 취약점이 일러스트레이터에서만 나왔다. 이 중 3개는 메모리 변형을 야기시키는 취약점이며, 해커들은 이를 통해 임의 코드를 실행시킬 수 있게 된다고 어도비는 경고했다. 이 세 가지 메모리 변형 취약점을 찾아낸 건 보안 전문가 쿠샬 아빈드(Kushal Arvind)다.

그 외에도 다음 제품들에서 취약점이 발견되기도 했으므로 사용자들은 패치를 적용하는 것이 안전하다.
1) 어도비 애니메이트
2) 어도비 미디엄
3) 어도비 애프터이펙트
4) 어도비 미디어 엔코더
5) 어도비 제뉴인 서비스
6) 어도비 인코피

3줄 요약
1. 어도비, 이번 달 정기 패치 통해 총 55개 취약점 해결.
2. 가장 눈에 띄는 건 이미 해커들이 익스플로잇 하고 있는 제로데이 취약점.
3. 일러스트레이터라는 프로그램에서 가장 많은 취약점이 나옴.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>