맥용 소프트웨어 업데이트 시스템에서 심각한 취약점 발견... "대규모 해킹공격 위험 커"

2016. 2. 10. 10:41    작성자: ONE™

맥용 소프트웨어 확인과 새 버전 다운로드에 사용되는 '스파클' 프레임워크에 치명적인 취약점이 발견돼 대규모 해킹 공격에 대한 우려를 낳고 있습니다.

오늘 아스테크니카, 나인투파이브맥 등 해외 주요 외신은 보안블로그 발러너블 시큐리티를 인용,'스파클(Sparkle)' 프레임워크에 해킹에 악용될 수 있는 보안 결함이 발견됐다고 전했습니다.

'스파클(Sparkle)'은 맥 앱 스토어가 아닌 곳에서 판매∙배포한 소프트웨어의 업데이트를 제공하기 위해 개발자 사이에서 널리 사용되는 오픈소스 프레임워크입니다. 스파클 프레임워크를 채택한 모든 프로그램은 암호화된 방식의 HTTPS 프로토콜이 아닌 보안 체계가 전혀 없는 HTTP 방식으로 서버에 연결됩니다. 이 때문에 최근 HTTP 프로토콜을 이용한 공격 사례가 늘고 있는 상황입니다.

이번에 스파클 프레임워크에서 발견된 취약점은 사용자가 앱을 업데이트할 때 악성 웹사이트에 접속하도록 유도하는 '중간자(man-in-the-middle) 공격의 하나로, 임의 코드 실행과 피싱 공격에 악용될 수 있다는 점에서 위험성이 큰 것으로 풀이되고 있습니다. 특히 캠타시아, 코다, 듀엣디스플레이, 유토렌트, 스케치 등 여러 유명 앱이 이 결함에 취약한 것으로 드러나 개발자들의 대책 마련이 시급하다는 지적입니다.


* 중간자(man-in-the-middle) 공격 흐름도

중간자 공격은 쉽게 말해, 통신하고 있는 컴퓨터와 서버 사이에 끼어들어 교환하는 정보를 자기 것과 바꾸어버림으로써 들키지 않고 도청을 하거나 통신내용을 바꾸는 해킹 기법입니다. 아직 해당 취약점을 이용한 사례는 보고된 바 없지만, 데이터 스트림 변조를 통한 콘텐츠 스푸핑, 가짜 메시지를 이용한 피싱 공격, 임의 코드 실행을 통한 정보 유출과 권한 탈취를 위한 통로로 사용될 가능성이 높습니다. 실제로 이 취약점을 이용하여 응용 프로그램 업데이트와 전혀 관련 없는 임의의 자바스크립트를 실행할 수 있다는 것도 입증됐습니다.

이 취약점은 이미 스파클 개발팀에 보고되었고, 1월 30일자로 취약점이 수정된 패치가 배포되고 있습니다. 외신들에 의해 집중 보도되며 주목받고 있는 취약점인 만큼 앞으로 여러 개발자들이 대대적인 보안 업데이트를 제공할 것으로 예상됩니다. 

다만 최신 패치인 만큼 개발자들이 이를 적용하기까지는 다소의 시간이 소요될 것으로 보이며, 이 사이 실제로 취약점을 이용한 공격이 감행될 수 있어 사용자들의 각별한 주의가 요구됩니다. 이와 같은 상황에서 사용자들이 취할 수 있는 가장 좋은 방어책은 앱 내 신규 업데이트가 감지되더라도 곧바로 업데이트를 진행하지 말고, 개발자 웹사이트를 방문해 최신 버전을 직접 내려받는 것입니다. 또한, 무방비로 노출된 공용 와이파이보다 가정에 설치한 와이파이를 사용하는 것도 취약점을 이용한 공격 방지에 도움이 될 수 있습니다.

한편, 이번 취약점은 애플의 앱스토어 밖에서 결제와 다운로드가 이루어지는 앱에 해당하는 것으로, 맥 앱스토어에서 배포되는 앱과는 무관합니다.



참조
Vulnerable Security - There's a lot of vulnerable OS X applications out there
ArsTechnica - “Huge” number of Mac apps vulnerable to hijacking, and a fix is elusive /via 9to5mac


    
  1. Blog Icon
    가구공

    갈수록 다양한 취약성이 문제가 되는군요.

  2. Blog Icon
    대령

    엄밀하게 말해서 이건 맥의 취약점이 아니라 맥용 소프트웨어 업데이트 프레임워크의 취약점입니다.

  3. Blog Icon
    ㅇㅅㅇ

    그게 맥의 취약점아님? ㅋㅋㅋ 쉴드 클라스 ㅋㅋㅋ

  4. Blog Icon
    카우보이

    요즘 세태를 보면 애플의 맥 앱스토어 도입은 신의 한수였던 것 같아요.
    샌드받스 때문에 기능 제한이 있긴 하지만 최소한 보안 걱정은 할 필요가 없으니...

  5. Blog Icon
    GooD

    그렇다고 앱스토어에있는 앱들만 이용할수도 없고... 큰일이네요..;;

  6. Blog Icon
    JS8219

    저는 이전에 ONE님이 소개 해 주신 MacUpdate란 프로그램을 사용 중 입니다.
    개인적으로 조금 비싸다는 생각에 올해는 추가 결제를 고심하고 있습니다.
    다른 대안을 찾는 분께 도움이 되셨으면....

  7. Blog Icon
    흠..

    역시 앱은 앱스토어. 저는 앱스토어 주로 이용합니다.

  8. Blog Icon

    비밀댓글입니다