2014 년 이후 모든 삼성 갤럭시 폰은 이러한 제로 클릭 악용에 취약하며, 지금 패치하십시오

행복나그네 2020. 5. 11. 08:00

지난 6 년 동안 출시 된 삼성 갤럭시 핸드셋을 소유하고 있다면 탄탄하고 무선 (OTA) 소프트웨어 업데이트를 확인하십시오. 패치하지 않은 채 2014 년까지 거슬러 올라가는 모든 Galaxy 전화는 Android에서 사용자 지정 Qmage 이미지 형식 (.QMG) 처리 와 관련된 소위 '제로 클릭'버그에 취약합니다.

즉, 삼성 의 최신 보안 업데이트가 패치 될 때까지 수백만 대의 갤럭시 폰이이 영향을받습니다 . 간과 할 수없는이 취약점은 가장 높은 '중요'등급을 가지며 공격자가 원격으로 악성 코드를 실행할 수 있습니다. 심각도가 높은 이유 중 하나는 사용자 개입없이 취약한 핸드셋을 악용 할 수 있기 때문입니다.

Google의 Project Zero 팀은 1 월 결함을 발견하고이 문제를 삼성에보고했습니다. 이 정보는 삼성의 2020 년 5 월 보안 공지 및 기타 여러 가지 보안 문제에서 해결되었습니다. Project Zero의 보안 연구원 중 한 명인 Mateusz Jurczyk는 취약점을 증명하기 위해 개념 증명 비디오를 업로드했습니다. 조심해 ...

삼성은 2014 년 후반에 Qmage 이미지 형식을보고하기 시작했으며 그 이후로 계속 사용되었습니다. 제로 클릭 버그로 만드는 것은 (즉, 피해자와의 상호 작용이 필요하지 않음) 이미지가 기기로 전송 될 때 Android가 이미지를 처리하도록 Skia 라이브러리로 넘겨서 썸네일 이미지 생성 및 그것은 무대 뒤에서 일어난다.

패치되지 않은 상태로두면 공격자는 Skia 라이브러리가 전화기의 내장 메모리에서 어디에 있는지 추측하기 위해 여러 멀티미디어 SMS (MMS) 메시지를 사용하여 대상 핸드셋을 핑할 수 있습니다. 그것이 결정되면, 공격자는 Qmage 이미지의 형태로 (전화로) 악성 코드를 보낼 수 있습니다.

Jurczyk은 ZDNet 에 위치를 식별하고 궁극적으로 Android의 ASLR (Address Space Layout Randomization) 보호를 회피하기 위해 50에서 300 개의 MMS 메시지를 수반 한다고 ZDNet에 말했습니다 . 많은 수의 메시지가 일반적으로 의심을 유발하더라도, 알림없이 대상 전화로 은밀하게 전송 및 처리 할 수 있습니다.

다행히도 삼성은 결함에 대해 경고를받은 후 비교적 빨리 수정 프로그램을 출시했습니다. 다시 말해 갤럭시 핸드셋을 보유하고있는 경우 (최근 또는 갤럭시 노트 4 또는 갤럭시 노트 엣지 (2014 년 후반에 출시) 등)는 기기 설정으로 가서 수동으로 확인해야합니다. 업데이트.

저작자표시 비영리 변경금지 (새창열림)