구글, 해커들이 악용한 안드로이드 제로데이 취약점 2건 긴급 패치

구글은 월요일, 실제로 악용된 것으로 확인된 안드로이드 운영체제의 제로데이 취약점 두 건을 수정하는 보안 업데이트를 배포했습니다. 구글은 이번 취약점들이 제한적이고 표적화된 방식으로 악용됐을 가능성이 있으며, 실제 환경에서 안드로이드 기기를 공격하는 데 사용되었을 수 있다고 밝혔습니다.

 

이번에 수정된 취약점 중 하나인 CVE-2024-53197은 국제 인권단체 앰네스티와 구글 위협 분석팀(Threat Analysis Group) 소속 보안 전문가 브누아 세븐스(Benoît Sevens)의 협력으로 발견됐습니다.

 

올해 2월, 앰네스티는 셀레브라이트(Cellebrite)라는 디지털 포렌식 장비 업체가 세 개의 제로데이 취약점을 조합해 안드로이드 기기를 해킹하고 있다고 발표했습니다. 셀레브라이트는 전 세계 수사기관에 스마트폰 잠금 해제와 데이터 분석 장비를 판매하는 회사입니다. 이번 사례에서는 셀레브라이트 장비가 세르비아의 한 학생 운동가를 상대로, 현지 당국에 의해 사용되었으며, 그 과정에서 이번에 패치된 취약점이 포함된 것으로 확인됐습니다.

 

두 번째 취약점인 CVE-2024-53150에 대해서는 상세 정보가 공개되지 않았지만, 해당 취약점 역시 구글의 브누아 세븐스가 발견한 것으로 전해졌으며, 안드로이드 운영체제의 핵심 구성 요소인 커널(Kernel)에서 문제가 발생한 것으로 알려졌습니다.

 

구글과 앰네스티는 이번 사안에 대한 언론의 논평 요청에 즉각적으로 응하지 않았습니다. 구글은 보안 권고문을 통해, 가장 심각한 취약점은 시스템 구성 요소에 존재하며, 사용자 권한 추가 없이 원격 권한 상승이 가능하다고 설명했습니다. 또한, 사용자의 별도 조작 없이도 악용될 수 있는 위험이 있다고 경고했습니다.

구글은 보안 패치의 소스코드를 48시간 이내에 공개하겠다고 밝혔으며, 안드로이드 파트너사들은 해당 취약점에 대해 최소 한 달 전부터 사전 통보를 받았다고 덧붙였습니다.

 

안드로이드는 오픈소스 기반 운영체제이기 때문에, 각 스마트폰 제조사들은 이번 보안 패치를 개별적으로 사용자들에게 배포해야 합니다.