OS X 요세미티 10.10.2 정식 버전이 나오면 지체 없이 바로 설치해야 할 이유가 있습니다.
미 IT매체 '아스테크니카'는 구글의 프로젝트 제로팀이 OS X 요세미티 10.10.1 및 그 이전 버전의 취약점을 이용한 새로운 제로데이(zero-day) 공격을 발견했다고 보도했습니다. 이 팀은 보안패치가 공개되지 않은 소프트웨어의 취약점을 분석하고, 이를 악용한 공격을 막는 방법을 찾는 것을 목표로 하는 구글 내부 보안팀입니다.
"구글의 프로젝트 제로팀이 지난 이틀간 OS X의 취약점 세 가지를 폭로했다. 여기. 여기. 여기. 해커가 공격 대상이 되는 맥 컴퓨터에 어떤 식으로든 접근 권한을 가져야 한다는 점에서 언뜻 보기에 치명적인 취약점은 아닌 듯하다. 게다가 "networkd effective_audit_token' XPC"와 연관이 있는 첫 번째 취약점은 이미 OS X 요세미티에서 완화 조치가 취해진 상태다....
다만 이러한 취약점을 결합한 일련의 공격으로 인해 권한이 저레벨에서 고레벨로 상승할 여지가 있고, 해커가 보안이 취약한 맥을 장악할 가능성을 배제할 수 없다. 또한 이번 취약점 공개는 개념 입증된(proof-of-concept) 익스플로이트 코드를 포함하고 있는 등 능숙한 해커들이 악의적인 공격을 수행할 수 있는 충분한 기술적인 세부사항을 제공하고 있다..."
쉽게 풀어서 설명하자면, 최신 맥 운영체제에 지금까지 알려지지 않은 세 가지 취약점이 발견되었는데, 해커가 이 취약점을 이용해 맥을 제어할 수 있다는 얘기입니다. 다만 원격이든, 아니면 케이블을 통한 물리적인 연결이 필요하다는 점에서 아직까지는 그리 위험성이 높지 않다고 얘기하고 있습니다. 또한 해당 취약점은 OS X 요세미티 10.10.2 (베타) 버전에서 모두 해결된 상태라고 합니다.
프로젝트 제로팀의 실력이 뛰어나다는 것도 알겠고, 또 운영체제의 취약점을 발견하고 해결책을 모색하는 것은 좋은 일이지만... 이렇게 (해커를 포함한) 대중에 공개해버려 보안 위험성을 높일 필요가 있을까 하는 아쉬움이 있습니다. 아무튼 OS X 10.10.2 버전이 정식으로 나오면 뜸들이지 않고 곧바로 업데이트를 진행하실 것을 권장합니다. 전례에 따라 요세미티뿐만 아니라 OS X 매버릭스와 OS X 마운틴 라이언을 위한 보안 패치도 별도로 제공될 것으로 예상됩니다.
참조
• Ars Technica - Google drops three OS X 0days on Apple
• Tech Holic - 구글 보안드림팀 ‘프로젝트제로’로 얻을 건
관련 글
• 'OS X 요세미티' 관리자 권한 탈취하는 심각한 보안 취약점 발견
• 애플, OS X 긴급 보안 업데이트 배포... 'NTP 원격코드 실행 취약점 해결'
• 애플, OS X 요세미티 10.10.2 여섯 번째 베타 버전 공개... '14C106a' 빌드
