[해외보안동향] 안드로이드 OS 업데이트 프로세스에서 취약점 발견

Android OS Update Process Vulnerable to Exploitation

안드로이드 OS 업데이트 프로세스에서 취약점 발견

 

 

 

 

출처: Hot for Security

안드로이드의 시스템 업데이트 프로세스에서 새로운 유형의 보안 취약점이 발견되었습니다. 이는 민감정보 탈취, 보안 설정 변경, 주요 시스템 서비스 설치 방지 등을 목적으로 한 익스플로잇 공격에 사용될 수 있는 것으로 보입니다.

 

안드로이드 패키지 관리 서비스(Android Package Management Service, PMS)에 숨어 있는 ‘Pileup(다중 충돌)’ 이라는 결점은 악성 앱이 새로운 시스템과 낮은 OS 버전에서 사용된 퍼미션을 획득하고 악성 행위를 수행하는 것을 허용합니다. 예를 들어, 한 앱이 안드로이드 2.3.6 버전에서 ADD_VOICEMAIL과 같은 퍼미션을 정의할 경우, 이 서명을 안드로이드 4.0.4 버전에서도 사용할 수 있게 되는 것입니다. 즉, 새로운 OS 버전에서 이 앱은 사용자의 동의 없이도 보이스 메일에 대한 접근 권한을 획득할 수 있습니다.

 

비트디펜더의 수석 분석가인 Bogdan Botezatu는, "사용자가 안드로이드를 각각의 퍼미션이 내장된 버전으로 업그레이드를 진행하면 악성 앱은 자동적으로 이를 사용하여 원하는 권한에 접근할 수 있다. 왜냐하면 이는 이미 이전 버전에서 접근 허가를 받은 것이기 때문이다." 라고 말했습니다.

 

테스트 결과, 이 취약점은 제조사와 국가를 가리지 않고 모두 공격 받을 위험이 있는 것으로 나타났는데요. 비트디펜더 측에 따르면, 현존하는 모든 공식적인 안드로이드 버전과 삼성, LG, HTC의 모든 소스코드 버전에서 이와 같은 퍼미션 획득 현상이 발생하고 있는 것으로 보입니다.

 

 

 

출처 :

Hot for Security

http://www.hotforsecurity.com/blog/android-os-update-process-vulnerable-to-exploitation-8239.html

* 해당 블로그 포스트는 공식적으로 인용 허가를 받았습니다.