[글로벌 Biz-24] 안드로이드 기기서 PNG 이미지 보는 것만으로도 '해킹' 위험노출

[글로벌이코노믹 김길수 기자] 안드로이드 탑재 장치에서 'PNG 이미지'를 여는 것만으로 해킹 위험성이 있는 것으로 나타났다. 이 위험은 새로 발견된 3가지 취약점에 따른 것으로, 안드로이드 7.0 버전 '누가(Nougat)'에서부터 최신 9.0 '파이(Pie)'에서까지 볼 수 있는 취약점이기 때문에, 많은 스마트폰에 영향을 미칠 수 있는 것으로 알려졌다.

2월 공지된 최신 보안 업데이트에서 구글은 안드로이드 장치에서 영향을 미치는 총 42개의 취약점에 대해 보고했다. 그중 11개의 취약점이 심각하게 중대한 영향을 미치는 것으로 조사됐으며, 30개가 다소 높은 심각성을, 그리고 나머지 1개가 중간 정도의 심각성을 가진 것으로 나타났다.

구글의 엔지니어는 취약점의 기술적인 상세한 내용에 대해서는 설명하지 않았지만, 특히 심각했던 3개의 취약점은 '힙 기반의 버퍼 오버플로우(heap-based buffer overflow)'와 'SkPngCodec 오류', 그리고 'PNG 이미지의 렌더링 구성 요소에 대한 취약점'이 있었다고 밝혔다.

그중 PNG 이미지 렌더링의 취약점은 PNG 이미지를 이용한 해킹을 가능하게 하는 것으로 알려졌는데, 이 때문에 3개 취약점 중 가장 위험한 것이 PNG 이미지에 관한 취약점으로 꼽혔다. 그리고 이러한 PNG 이미지는 악성 코드를 포함하고 있는지 여부를 육안으로 확인할 수조차 없는 것이 가장 큰 문제점으로 지목됐다.
"외부의 공격자가 특수하게 조작한 PNG 이미지를 사용하여 원격에서 특권 프로세스로 임의의 코드를 실행할 수 있다"고 구글은 설명했다. 즉 공격자는 악의적인 PNG 이미지를 ▲메시지 앱으로 보내거나, ▲네트워크를 통해 다운로드 시키거나, ▲이메일로 보내거나 하는 방법을 통해 사용자에게 이미지를 전달하고, 이후 사용자가 열어보도는 것만으로 타깃의 단말기상에서 임의의 코드를 실행할 수 있게 된다는 것이다.

한편, 구글은 보안 업데이트 보고서에서 "취약점을 악용하거나 피해를 받았다는 보고는 없었다"고 강조하고, 안드로이드 파트너에게는 1개월 전에 이미 새로운 취약성에 대해 통지했다고 덧붙였다.

그러나 일부 보안 전문가들은 최신 소프트웨어 업데이트 패키지를 조심스럽게 확인하고 다운로드해야 하는 수고는 모두 사용자의 몫이며, 특히 제3자 생산 안드로이드 기기를 사용하는 사용자들은 여전히 위험에 노출되어 있다고 경고했다.


김길수 기자 gskim@g-enews.com