2024-03-28 19:05 (목)
사용자 패스워드 훔칠 수 있는 맥OS 제로데이 취약점 발견
상태바
사용자 패스워드 훔칠 수 있는 맥OS 제로데이 취약점 발견
  • 페소아 기자
  • 승인 2019.02.08 11:06
이 기사를 공유합니다

맥OS 배포판에 내장된 암호관리 시스템, 키체인에 저장된 암호에 접근 가능

MAC-2.jpg
지난주말 애플의 맥OS 운영체제에 영향을 미치는 새로운 제로데이 취약점이 발견됐다.  

리누스헨즈(Linus Henze)는 독일의 기술전문 사이트 Heise와의 인터뷰에서 맥OS 시스템에서 실행되는 악의적인 앱이 모든 맥OS 배포판에 내장된 암호관리 시스템인 키체인(KeyChain)에 저장된 암호에 접근할 수 있게 한다고 말했다.

이 공격은 악성 앱이 사용자의 키체인 파일에서 비밀번호를 검색할 때 관리자 권한이 필요하지 않으며 다른 맥OS 사용자의 비밀번호를 저장하는 다른 키체인 파일의 내용을 검색할 수 있어 매우 위험하다.

헨즈는 유튜브 비디오를 제외하고는 자신의 발견을 뒷받침할 수 있는 개념 증명 코드(PoC)를 발표하지는 않았지만, 포보스의 기사에 따르면 애플 전문 보안 연구원이 익스플로잇이 존재하며 Heise와의 인터뷰에서 설명한대로 잘 동작한다는 것을 확인했다.

헨즈는 자신의 비디오를 공개하기 전 이 취약점을 애플에 보고 하지 않았다. 그는 애플의 맥OS에 대한 버그 현상금 프로그램이 부족한 것이 그 이유라고 언급했다. 애플은 다른 제품을 위한 버그 현상금 프로그램을 운영하지만, 맥OS에 대해서는 그렇지 않다.애플의 보안 팀은 더 자세한 내용을 요구했지만 그는 맥OS에 대한 버그 현상금 프로그램을 시작할 때까지 해당 내용을 보고하지 않겠다고 거부했다.

그는 “이 경우는 돈은 내 행동에 대한 동기는 아니다. 애플에게 버그 현상금 프로그램을 만들어달라고 하는 것이고, 이것은 애플과 연구원들 모두에게 최선이라고 생각한다. 나는 애플 제품을 정말 좋아한다. 그래서 그 제품들을 더 안전하게 만들고 싶은 것이다. 이들을 더 안전하게 만드는 방법은 애플이 다른 대기업들처럼 버그 현상금 프로젝트를 운영하는 것이다.”라고 말했다.

헨즈의 맥OS 제로데이(KeySteal로 알려짐)는 2017년 패트릭워들(Patrick Wardle)이 발견한 KeychainStealer라는 다른 제로데이와 다소 비슷하다.

★정보보안 대표 미디어 데일리시큐!★


■ 보안 사건사고 제보 하기

▷ 이메일 : mkgil@dailysecu.com

▷ 제보 내용 : 보안 관련 어떤 내용이든 제보를 기다립니다!

▷ 광고문의 : jywoo@dailysecu.com

★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading security media!★