보안 / 안드로이드

안드로이드, 2년 전과 마찬가지로 ‘중간자 공격’에 무방비 노출

Lucian Constantin | PCWorld 2014.08.06

최근 보안 연구원들이 앱과 단말기를 하이재킹(hijacking)하는데 악용될 수 있는 안드로이드 취약점을 발견해 화제가 됐었다. 그러나 보안업체 브로미엄(Bromium)에 따르면 이와 비슷한 문제가 이미 2년 전에 보고되었지만 아직까지도 문제가 해결되지 않고 있다고 한다.



이 문제는 2012년 12월, 안드로이드의 웹뷰(Webview) 컴포넌트 중‘addJavascriptInterface’ 이름의 안드로이드 API를 사용하는 애플리케이션 브라우저들을 대상으로 공격자가 자바스크립트를 사용해 악성코드를 실행할 수 있다는 보도를 통해 처음 드러났다.

애플리케이션에 내장된 수많은 애플리케이션과 광고 프레임워크들은 원격 서버로부터 로딩된 광고 등의 웹 콘텐츠를 표시하기 위해 웹뷰를 활용한다. 문제는 이들 앱 가운데 상당수가 웹뷰 콘텐츠를 로딩할 때 암호화된 HTTPS 연결을 사용하지 않는다는데 있다.

이러한 데이터 전송 암호화의 부재는 공격자가 취약한 앱에 접근을 유도해 악성코드를 실행할 수 있는 여지를 준다. 이를 ‘중간자 공격(man-in-the-middle)’이라 부른다.

만약 앱이 자체적으로 트래픽을 암호화하지 않고 웹뷰를 addJavascriptInterface와 함께 사용하면, 공격자가 자바스크립트 코드를 주입해 앱의 기능성 통제권을 얻고 시스템상의 권한을 악용할 수 있다. 이를 발견한 보안 연구원들은 또한, 공격자들이 그 기저 기기에 대한 제어를 위해 역 TCP 셸을 그들이 통제하는 서버로 열기 위해 이 취약점을 활용할 수 있다는 가능성도 보여주었다.

게다가 공격자는 addJavascriptInterface를 통한 원격 코드집행 공격을 다양한 안드로이드 버전에 영향을 미치는 몇 가지 권한상승(privilege escalation) 취약점을 이용해 강화하는 것으로 기기의 실질적인 통제권을 탈취할 수도 있다.

브로미엄의 한 보안 연구원은 “인스턴스의 퓨텍스(futex) 취약성(CVE-2014-3153)은 안드로이드에서 사용되는 모든 리눅스 커널 버전에 영향을 미치는데, 최근에는 갤럭시 S5의 루팅(rooting)에도 이 취약점이 악용됐다”고 밝혔다.

이와 관련해 구글은 2012년 11월 발표된 안드로이드 4.2에 부합하는 안드로이드 API 레벨 17에 addJavascriptInterface 공격에 대한 수정 사항을 추가했다. 하지만 그럼에도 불구하고 많은 애플리케이션과 기기들은 여전히 취약한 상태로 남아 있다.

브로미엄의 연구원은 “수많은 앱과 광고 프레임워크들은 단말기와의 호환성을 최대화하기 위해 종종 가장 낮은 API 버전에 맞춰 구축되곤 한다”며 “그 결과 해당 앱은 최종적으로 모든 패치가 설치된 안드로이드 4.2, 4.3, 4.4에서 구동하는 기기에서도 위협에 무방비 상태로 노출되고 만다”고 지적했다.

지난 5월, 연구원들은 구글 플레이 스토어에서 10만 2,189개의 무료 앱을 무작위로 다운로드해 테스트를 진행했다. 그 결과, 그 가운데에서 12.8%인 1만 3,119개의 앱이 addJavascriptInterface를 활용하고 있어서 잠재적인 공격 대상으로 분류됐다.

연구원들은 이어, 안드로이드 4.4.3에서 구동하는 넥서스 5와 안드로이드 오픈 소스 프로젝트(Android Open Source Project) 펌웨어 버전 4.2를 탑재한 삼성 XE700t 태블릿에서 취약 앱의 표본집단을 설치, 테스트했다. 테스트는 기기들이 연구원들이 통제하는 불량 무선 AP에 접속된 상태에서 이뤄졌다.

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.