아이폰에 이메일만 보내면 해킹이 가능한 제로데이 취약점 발견

Zero-Day Warning: It's Possible to Hack iPhones Just by Sending Emails

아이폰, 아이패드 수백만 대에 설치된 기본 메일 앱에서 치명적인 취약점 2개가 발견되었습니다. 

공격자들은 최소 2년 동안 이 취약점을 악용하여 유명 사용자를 스파잉해온 것으로 드러났습니다.

원격 공격자는 해당 취약점을 악용해 기본 이메일 앱에 로그인한 타깃에게 이메일을 보내는 것만으로 은밀히 애플 기기의 제어 권한을 탈취할 수 있었습니다.

ZecOps의 보안 연구원들에 따르면, 이는 원격 코드 실행 취약점으로 애플의 메일 앱의 MIME 라이브러리에 존재합니다. 

하나는 out-of-bounds 쓰기 취약점이며, 다른 하나는 힙 오버플로우 문제입니다. 이 두 취약점 모두 이메일 내용을 처리하는 도중 촉발될 수 있습니다. 

두 번째 취약점은 타깃 수신자의 아무런 행동 없이 ‘제로 클릭(zero-click)’으로 악용될 수 있기 때문에 더욱 위험합니다.

8년 된 애플의 제로데이 취약점, 실제 공격에 악용

연구원들에 따르면, 이 취약점 2개는 iOS 6이 출시된 이래로 8년 동안 다양한 아이폰 및 아이패드 버전에 영향을 미쳤습니다. 

최신 버전인 iOS 13.4.1 또한 이에 취약하며, 아직까지 패치가 공개되지 않은 상황입니다.

더욱 우려스러운 점은, 많은 공격자들이 최소 2년 전부터 이 취약점을 이미 악용하여 사우디아라비아와 이스라엘의 MSSP, 유럽의 언론인들을 포함한 다양한 업계 및 조직을 공격 중이라는 것입니다.

ZecOps는 이 모든 공격을 특정 공격자의 소행이라 단정 지을 수는 없지만, ‘해킹 서비스’를 제공하는 조직이 이메일 주소를 메인 식별자로 사용하는 취약점을 이용한 익스플로잇을 판매하고 있음을 발견했습니다.

 

<이미지 출처: https://blog.zecops.com/vulnerabilities/unassisted-ios-attacks-via-mobilemail-maild-in-the-wild/>

연구원들에 따르면, 애플 사용자는 자신이 이 취약점을 악용한 공격의 대상이 되었는지 조차 확인하기 어려울 수 있습니다. 

공격자는 피해자의 기기에 원격 접속 권한을 얻은 즉시 악성 이메일을 삭제하기 때문입니다.

피해자의 iOS 기기에서 악성 이메일을 수신 및 처리한 것이 확인되었지만, 수신 후 메일 서버에 저장되어 있어야할 악성 이메일이 사라진 상태였습니다. 

이는 공격자가 보안상 이유로 삭제한 것으로 추측됩니다.

피해자는 모바일 메일 애플리케이션의 속도가 느려진 것 이외에 다른 어떤 비정상적인 활동도 발견할 수 없었습니다.

참고로 이 취약점 악용에 성공한 공격자는 모바일 메일이나 maild 애플리케이션의 콘텍스트에서 악성코드를 실행할 수 있어 피해자의 이메일을 유출, 수정 및 삭제할 수 있었습니다.

하지만 피해자 기기 전체를 원격으로 제어할 수 있는 권한을 얻기 위해서는 다른 커널 취약점을 함께 악용해야 합니다.

아직 패치가 준비되지 않았으니 조심하세요

연구원들은 약 2개월 전 실제 공격과 관련 취약점을 발견한 후 애플의 보안팀에 제보했습니다.

현재는 지난주 공개된 iOS 베타 버전인 13.4.5에 이 취약점 2개에 대한 보안 패치가 포함된 상태입니다.

아이폰 및 아이 패드 사용자 수백만 명은 곧 공개될 다음 iOS 업데이트를 통해 이 취약점을 패치할 수 있습니다.

그동안, 애플 사용자분들은 스마트폰의 기본 이메일 애플리케이션을 사용하지 마시고 아웃룩이나 지메일 앱을 대신 사용할 것을 권장합니다.

출처:

https://thehackernews.com/2020/04/zero-day-warning-its-possible-to-hack.html

https://blog.zecops.com/vulnerabilities/unassisted-ios-attacks-via-mobilemail-maild-in-the-wild/