안드로이드폰에서 문자메시지 수신만으로 감염되는 것으로 알려진 Stagefright 버그의 또 다른 취약점이 발견됐다.
Stagefright 버그를 처음 발견해 구글에 통보했던 보안 전문 업체 Zimperium Mobile Security는 블로그를 통해 문자메시지가 아닌 MP3와 MP4 미디어 파일을 처리하는 과정에서 새로운 취약점을 발견하고 Stagefright 2.0이라는 이름으로 해당 내용을 공개했다.
Stagefright 2.0은 특수하게 조작된 MP3 오디오 파일이나 MP4 비디오 파일을 처리하는 과정에서 발생하는 취약점으로, MP3 오디오 파일 관련 취약점은 2008년 출시된 안드로이드 1.0 버전부터 5.0 롤리팝까지 거의 모든 안드로이드 기기에 영향을 줄 수 있는 것으로 알려졌다.
Stagefright 2.0 역시 1.0 때와 마찬가지로 안드로이드 OS에서 멀티미디어 파일을 미리보기 하는 작업을 악용했다. 예를 들어 악성코드가 포함된 오디오 파일이 있는 홈페이지에 방문했을 때 안드로이드 OS에서 해당 오디오 파일에 대한 미리보기를 시도하는 과정에서 사용자의 장치가 악성코드에 감염되는 방식이다.
Zimperium 측은 약 9억 5천만 대의 안드로이드 장치가 새로운 Stagefright 취약점을 가지고 있으며 구글에 이를 통보해 지난 9월 10일 제조사들에게 제공된 10월 연례 보안 업데이트에서 해당 패치가 제공되었다고 한다. 구글 레퍼런스 기기인 넥서스 시리즈는 10월 5일에 관련 패치가 나올 예정이지만 다른 안드로이드 기기들은 이전과 마찬가지로 제조사 및 이동통신사를 통해 업데이트가 제공되어야 할 것으로 보인다. |
