로지텍 무선 마우스와 키보드 등에 사용되는 통합 수신기(유니파잉 리시버, Unifying Reciver)에서 새로운 보안 취약점이 보고되었다.
공개된 취약점은 공격자가 키보드와 수신기 사이의 트래픽을 가로채 원하는 키 입력은 물론 사용자가 입력하는 키를 확인할 수 있으며, 키보드와 수신기가 연결되어 있지 않은 상태에서도 통합 수신기가 장착된 시스템을 공격할 수 있다.
해당 취약점을 악용할 경우 사용자가 공격 방어를 위해 '키 블랙리스트'를 활용해도 해당 기능을 우회해 공격할 수 있으며, 해당 보안 취약점은 2.4GHz 주파수를 사용하는 모든 로지텍 통합 수신기에서 악용될 수 있다.
이번에 공개된 취약점 3종 중 2종은 공격자가 통합 수신기에 물리적 접근이 가능하거나 사용자가 페어링할 때 수신 범위인 10m 내에 있어야 하는 등 공격 조건이 까다로운 편이다.
한편, 로지텍은 이번에 보고된 취약점 중 물리적 접근이 필요한 2종(CVE-2019-13053 / CVE-2019-13052)에 대해서는 악용이 어렵고 다른 유니파잉 디바이스 상호운용에 부정적인 영향을 미칠 수 있다는 이유를 들어 별도 펌웨어 패치를 제공하지 않을 방침이다.
또 다른 CVE-2019-13054/55 보안 취약점 역시 물리적 접근이 필요한 것으로 알려졌지만 명시되지 않은 명령어와 부적절한 데이터 보호 기능이 적용되어 암호화 키 탈취가 쉬워 순식간에 암호화키 탈취가 가능하다. 이에 로지텍은 해당 취약점에 대해서는 오는 8월까지 대응 패치를 제공할 방침이다.
새롭게 밝혀진 로지텍 통합 수신기 관련 보안 취약점 관련 공식 입장은 로지텍 지원 페이지서 확인할 수 있다. |
