맥킨토시 컴퓨터들 중 적지 않은 수가 꽤나 위험한 상태로 사용되고 있다는 경고가 나왔다. 맥OS 빅서와 카탈리나를 고수하고 있는 경우가 여기에 해당한다. 애플이 취약점 패치를 내놓을지조차 불확실한 지금 상황에서 가장 확실한 방법은 몬테레이로 업그레이드하는 것뿐이다.
[보안뉴스 문가용 기자] 전 세계 맥 시스템의 35~40%가 침해의 가능성에 노출되어 있다는 경고가 나왔다. 두 가지 제로데이 취약점 때문이다. 두 개 다 실제 해킹 공격에 악용되고 있으며 아직 애플은 패치를 일부만 발표한 상태다. 이 두 가지 취약점은 CVE-2022-22675와 CVE-2022-22674이며 맥OS, iOS, 아이패드OS 기반 시스템들에 영향을 주는 것으로 분석됐다. 애플은 맥OS 몬테레이, iOS 15, 아이패드OS 15에 대한 패치를 배포했다. 하지만 맥OS 빅서와 카탈리나에 대한 패치는 나오지 않고 있다.
보안 업체 인테고(Intego)의 수석 분석가인 조슈아 롱(Joshua Long)은 “애플이 이런 식으로 일부 제품에만 패치를 적용하는 게 드문 일”이라며 “맥OS 몬테레이가 지난 10월 출시된 이후 이전 버전의 OS들을 위한 패치를 진행하지 않는 건 처음”이라고 설명한다. “작년 10월, 올해 1월과 2월에 애플은 빅서와 카탈리나를 위한 패치들도 전부 동시에 배포했습니다. 이번에 문제가 된 취약점들과 마찬가지로 패치가 나오기 전에 해커들이 이미 익스플로잇 하고 있던 취약점들이었죠. 대응이 사뭇 다릅니다.”
사실 ‘사뭇’ 다른 정도가 아니다. 애플은 지난 10년 동안 대규모 보안 패치를 진행할 때 한 번도 빠지지 않고 두 세대 전의 OS까지도 패치 범위에 넣어 왔기 때문이다. 의아하게 여긴 인테고는 애플에 연락해 정확한 이유를 파악하고자 했지만 애플은 아직까지 답변을 주지 않고 있다고 한다. 뿐만 아니라 그 어떤 매체의 연락에도 아직 응하지 않고 있다.
인테고는 카탈리나 이전 버전의 자료를 바탕으로 “현재 실제 사용되고 있는 전 세계 모든 맥OS 기반 시스템들 중 35~40%가 이번에 부분적으로만 패치된 제로데이 취약점의 위협에 노출되어 있다”고 추정했다. 즉 현존하는 모든 맥 컴퓨터들 중 35~40%에 빅서 이하 버전의 OS들이 설치되어 있을 가능성이 높다는 것이다. 인테저는 “애플이 언제 패치를 발표할지, 심지어 패치를 발표할 계획을 가지고 있는지도 알 수 없는 상태”라고 설명한다.
불확실한 패치 정책
“하지만 지난 10년 동안 애플이 패치를 그런 식으로(현재보다 2세대 전 버전의 OS까지 패치 해온 방식) 진행했다고 해서 그것이 애플의 정책일 거라고 결론을 내리기는 힘듭니다. 애플은 단 한 번도 패치와 관련된 자사의 기조나 정책을 공공연하게 밝힌 적이 없습니다. 2003년에 ‘애플은 취약점 패치를 빠르게 하는 것을 원칙으로 삼고 있다’는 말만 두루뭉실하게 했을 뿐입니다. “애플이 위협을 어떻게 정의하는지, 어떤 식으로 위험 수위를 평가하는지, 책임감 있는 취약점 공개라는 개념을 어떻게 해석하고 있는지 등은 우리가 전혀 알 수 없습니다.”
두 개의 제로데이 취약점 중 CVE-2022-22675는 애플AVD(AppleAVD)라는 미디어 파일 디코더에서 발견된 아웃 오브 바운드 라이트(out-of-bounds write) 취약점이다. 다수의 애플 OS들에 영향을 주는 취약점으로, 공격자가 익스플로잇에 성공할 경우 커널 층위에서 악성 코드를 실행할 수 있게 된다. 다음은 CVE-2022-22674로, 인텔 그래픽 드라이버(Intel Graphics Driver) 요소에서 발견된 아웃 오브 바운드 리드(out-of-bounds read) 취약점이다. 익스플로잇에 성공한 공격자들은 커널 메모리를 열람할 수 있게 된다. 후자의 경우 맥OS에서만 발견되었다.
롱에 의하면 “빅서는 CVE-2022-22675 취약점에 확실히 노출되어 있지만 카탈리나는 영향이 없는 것으로 분석됐다”고 말한다. “카탈리나의 경우 애플AVD 요소를 가지고 있지 않기에 해당 취약점에 노출되어 있지 않을 것입니다. CVE-2022-22674에 대해서는 아직 분석이 다 끝나지 않아 확실히 말할 수는 없습니다만 인텔 그래픽 드라이버라는 건 거의 모든 맥OS에 있기 때문에 빅서와 카탈리나도 취약할 것으로 예상합니다. 둘만 예외일 거라고 볼 만한 근거가 없습니다.”
한편 애플은 취약점을 다루고 패치를 공개하는 방식에 있어서 지난 수년 동안 비판의 대상이 되어 왔다. 취약점이나 패치에 대한 상세 정보를 공개하지 않을 뿐만 아니라 이른 바 ‘잠수함 패치’라는 방식을 자주 이용하기 때문이다. 이 때문에 방어를 담당해야 하는 사람들은 패치 외에 다른 방법을 강구할 수가 없었다. 오로지 애플만 믿고 애플의 방식대로 안전을 도모해야 했던 것이다.
또한 작년 11월 보안 업체 멀웨어바이츠(Malwarebytes)는 애플이 해커들 사이에서 잘 알려진 제로데이 취약점을 패치하는 데 7개월이나 걸렸다며 크게 비판한 적이 있었다. 당시 멀웨어바이츠는 애플이 최신 OS나 소프트웨어가 아니면 등한시 하는 태도가 적나라하게 드러났다고 주장했다.
3줄 요약
1. 애플의 OS들에서 두 개의 제로데이 취약점이 발견되었음.
2. 애플은 패치를 개발해 배포했으나 두 개의 오래된 맥OS는 제외 되었음.
3. 따라서 맥OS 빅서나 카탈리나를 사용하는 사람들의 경우 아직 위험할 수 있음.
[국제부 문가용 기자(globoan@boannews.com)]
느낀점
아이폰, 애플워치, 아이패드 등 맥북 빼고는 많은 전자기기들을 애플의 제품으로 사용중인데 맥 OS 빅서와 카탈리나에서 제로데이 취약점이 존재하고 대안이 없다는 것에 놀랐다. 제로데이 취약점이란 말 그대로 취약점이 뚫리고 고치기까지 제로 데이라는 뜻인데 전 세계 맥 시스템의 40%가 취약점에 노출되고 있다는 점이 안타깝고 또 놀라웠다. 두 가지 취약점 중 하나는 애플AVD라는 미디어 파일 디코더에서 발견된 out-of-bounds write 취약점인데 공격자가 침투에 성공할 경우 커널 층위에서 악성 코드를 실행할 수 있게 된다고 한다. 다음은 인텔 그래픽 드라이버 요소에서 발견된 out-of-bounds read 취약점인데 침투에 성공한 공격자들은 커널 메모리를 열람할 수 있게 된다. 위에 두 가지 취약점을 자세히 조사해보고 공부해야겠다.