보안

인텔 CPU서 기밀 정보 빼낼 수 있는 보안 취약점 발견돼

Hans-Christian Dirscherl | PCWorld 2023.08.10
비밀번호, 암호화 키 등 기밀 정보를 빼돌릴 수 있는 심각한 보안 취약점이 수십억 대의 인텔 CPU에서 발견됐다. 펌웨어 업데이트로 이 문제를 해결할 수 있지만, 성능 저하가 발생할 수도 있다. 
 
ⓒGetty Images Bank

‘몰락(Downfall)’은 구글의 보안 전문가 다니엘 모기미가 여러 세대의 인텔 프로세서에서 발견한 새로운 취약점에 붙인 이름이다. 해당 취약점은 이미 CVE-2022-40982로 보고됐으며, 인텔은 이를 확인했다. 한편 모기미는 지난 2022년 8월 24일 인텔에 이 취약점을 보고했지만, 인텔이 마이크로코드 업데이트를 배포할 시간을 가질 수 있도록 오늘에야 해당 결함을 공개했다. 

모기미는 몇 가지 예를 들어 이 취약점을 자세하게 설명했다. 모기미에 의하면 개인 사용자 컴퓨터와 클라우드 서버에서 사용되는 수십억 대의 인텔 프로세서가 이 취약점의 영향권 아래 있다. 모기미는 해당 결함으로 발생할 수 있는 결과를 다음과 같이 설명했다. 

“CVE-2022-40982로 확인된 이 취약점을 통해 공격자는 동일한 프로세서 기반의 PC를 쓰는 사용자의 데이터에 액세스해 데이터를 훔칠 수 있다. 예를 들면 앱 스토어에서 다운로드한 악성 앱이 ‘다운폴’ 공격을 사용해 비밀번호, 암호화 키 등의 기밀 정보나 은행 정보, 개인 이메일, 메시지 등의 개인 정보를 빼낼 수 있다. 마찬가지로 클라우드 환경에서도 다운폴 취약점을 악용해 동일한 서버에서 실행되는 다른 가상머신의 데이터와 자격증명을 훔칠 수 있다.” 
 

인텔 다운폴 취약점의 작동 방식

대략적인 버그 설명은 다음과 같다(자세한 내용은 이곳에서 확인할 수 있다). “이 취약점은 인텔 프로세서의 메모리 최적화 기능으로 인해 발생했다. 메모리에 흩어져 있는 데이터 액세스 속도를 높이기 위한 Gather 명령이 실행 중 내부 벡터 레지스터 파일의 내용을 유출한다는 사실이 발견됐다. 최적화 과정에서 의도치 않게 레지스터에 임시로 저장된 데이터를 다른 프로그램이 엿볼 수 있다는 이야기다. 그 결과, 기밀 데이터에 신뢰할 수 없는 소프트웨어가 액세스할 수 있다.”

인텔은 이미 해당 보안 취약점을 막기 위한 마이크로코드 업데이트를 제공하고 있다. 인텔은 “이 문제에 노출돼 있는 인텔 프로세서 사용자는 최신 버전의 펌웨어로 업데이트할 것을 권장한다”라고 밝혔다. 

하지만 모기미는 특정 상황에서 최대 50%의 성능 저하가 발생할 수 있다고 언급했다. 이곳에서 인텔이 마이크로코드 업데이트의 부작용을 설명한 내용을 확인할 수 있다. 
 

어떤 인텔 프로세서가 영향을 받나 

인텔의 소비자 프로세서와 서버 프로세서 모두 영향을 받는다. 소비자용으로는 6세대 스카이레이크 프로세서부터 11세대 타이거 레이크 칩까지 인텔 코어 프로세서가 탑재된 모든 PC 또는 노트북에 해당 취약점이 포함돼 있다. 이는 스카이레이크가 출시된 최소 2015년부터 이 취약점이 존재했음을 의미한다. 

인텔의 (상응하는) 제온 프로세서도 다운폴의 위험에 노출돼 있다. 모기미는 서버 프로세서 분야에서 인텔의 지배적인 위치로 인해 사실상 모든 인터넷 사용자가 적어도 간접적으로 영향을 받을 수 있다고 전했다. 회사에 따르면 2021년 이후 출시된 인텔의 최신 12세대, 13세대 코어 프로세서, 4세대 제온 스케일러블 프로세서는 영향을 받지 않는다. 

인텔은 영향을 받는 모든 프로세서 목록을 이곳에 게시했다. 구글 보안 전문가의 자세한 분석 내용은 여기서 확인할 수 있다. 
editor@itworld.co.kr
 
Sponsored

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.