Home > 전체기사
애플, 탈옥 도구 개발자들이 발표한 제로데이 취약점 패치
  |  입력 : 2020-06-03 14:08
페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기
언커버 5.0 개발한 폰투온드, 얼마 전 제로데이 취약점 발견했다고 발표
애플이 일주일만에 문제 해결...폰투온드, “탈옥 원하면 업데이트 하지 말라”


[보안뉴스 문가용 기자] 애플이 이번 주 새로운 보안 패치를 발표했다. 최근 등장한 새로운 탈옥 유틸리티를 통해 발견된 제로데이 취약점을 해결하기 위해서다. 이 취약점은 CVE-2020-9859로, iOS 커널에서 발견되었으며, 애플리케이션이 샌드박스 상태를 벗어나게 해주고 커널 층위에서의 코드 실행을 가능하게 해준다.

[이미지 = utoimage]


위에 언급된 탈옥 도구는 언커버(unc0ver) 5.0으로, 개발자들은 iOS 11부터 13.5 버전까지 탈옥시킬 수 있다고 광고했다. 다만 12.3~12.3.2 버전과 12.4.2~12.4.5 버전은 예외라고 밝혔다. 중요한 건 이 개발자들이 5.0 버전을 발표하면서 iOS의 제로데이를 활용했다고 언급한 것이었다.

카네기대학의 CERT-CC는 포인터 인증 코드(Pointer Authentication Code, PAC)를 지원하는 CPU를 탑재한 iOS 장비들에도 영향이 있을 수 있다고 경고했다.

언커버 5.0이 발표되고서 1주일 후 애플은 보안 패치를 발표했다. 그러면서 “(언커버 개발자들이 악용한) 취약점은 메모리 소모와 관련된 문제였고, 메모리 처리 기법을 향상시킴으로써 해결할 수 있었다”고 설명했다. 그러면서 “애플리케이션이 커널 권한을 가지고 임의 코드 실행을 할 수 있게 해주는 취약점”이었다고 말하기도 했다.

언커버 5.0의 제로데이 취약점이 해결된 버전은 iOS 13.5.1 버전과 iPadOS 13.5.1 버전이다. 아이폰 6s 및 상위 버전, 아이패드 에어 2 및 상위 버전, 아이패드 미니 4 및 상위 버전, 아이팟 터치 7세대에 적용되었다고 한다.

그 외에도 애플은 맥OS 하이시에라 10.13.6, 맥OS 카탈리나 10.15.5, 애플 TV 4K, 애플 TV HD(tvOS 13.4.6), 애플 워치 시리즈 1 및 상위 버전(watchOS 6.2.6)을 발표하며 해당 취약점에 대한 만전을 기하기도 했다.

언커버 5.0을 개발한 폰투온드(Pwn20wnd)는 “이번 iOS13.5.1 버전을 통해 언커버 5.0이 익스플로잇 했던 제로데이가 해결됐다”며 “만약 언커버를 통해 탈옥을 하고 싶다면 패치를 적용하지 말라”고 공식 트위터를 통해 경고했다.

아이폰 사용자라면 설정->일반->소프트웨어 업데이트를 통해 최신 업데이트를 다운로드 받을 수 있다.

최근 FBI도 “애플 사용자들은 자신의 장비들의 안전성에 대해 지나친 자신감을 가지고 있는 편”이라며 “최근 애플 생태계를 노린 해킹 공격이 질의 측면에서나 양의 측면에서나 모두 발전하고 있으므로 항상 유의해야 한다”고 경고하기도 했다.

애플의 취약점 익스플로잇을 비싼 값에 사들이는 것으로 악명 높은 제로디움(Zerodium)이라는 업체도 “최근 접수되는 애플 익스플로잇이 너무 많아서 앞으로 몇 달 동안은 구매를 중단할 것”이라고 발표하기도 했다. 애플 취약점의 가격도 내려갔다.

3줄 요약
1. 얼마 전 아이폰 탈옥 도구 개발자들이 제로데이 취약점 발견했다며 발표.
2. 그러면서 차기 업데이트를 통해서도 해결할 수 없을 거라고 장담.
3. 그런데 1주일 만에 애플에서 패치 발표해 해결.

[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

  •  
  • 0
  • 페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기


  •  SNS에서도 보안뉴스를 받아보세요!! 
모니터랩 파워비즈 6개월 2020년6월22~12월 22일 까지넷앤드 파워비즈 진행 2020년1월8일 시작~2021년 1월8일까지위즈디엔에스 2018파워비즈배너 시작 11월6일 20181105-20200131
설문조사
코로나19 사태로 인해 화상회의, 원격교육 등을 위한 협업 솔루션이 부상하고 있습니다. 현재 귀사에서 사용하고 있는 협업 솔루션은 무엇인가요?
마이크로소프트의 팀즈(Teams)
시스코시스템즈의 웹엑스(Webex)
구글의 행아웃 미트(Meet)
줌인터내셔녈의 줌(Zoom)
슬랙의 슬랙(Slack)
NHN의 두레이(Dooray)
이스트소프트의 팀업(TeamUP)
토스랩의 잔디(JANDI)
기타(댓글로)