'구글, 윈도우 7 시스템에서 제로데이 취약점 발견해 공개' 기사 스크랩

2019.03.11

"구글, 윈도우 7 시스템에서 제로데이 취약점 발견해 공개"

출처 보안뉴스 :  https://www.boannews.com/media/view.asp?idx=77715

* 요약 *

실제로 공격에 활용되고 있는 취약점인 로컬 권한 상승 취약점이 윈도우 7에서 발견되었다.

윈도우 7에서만 발견된 이 취약점은 3월 1일 패치된 크롬 취약점(CVE-2019-5786)과 같이 익스플로잇 되고 있다고 한다.

이 취약점은 이미 실제 해킹 공격에 남용되고 있는 상황이라고 한다.

이 제로데이 취약점은 로컬 권한 상승을 일으키는데 win32k.sys 커널 드라이브 내에 존재한다.

어뷰징을 할 경우 공격자들이 보안 샌드박스를 탈출할 수 있게 된다.

win32k!MNGetpltemFromIndex에 있는 널 포인터 역참조(NULL Pointer dereference) 취약점의 한 유형으로

특별한 상황에서 NtUserMNDragOver()이라는 시스템 호출이 호출될 때 익스플로잇이 가능하다고 한다.

하지만 이 버그는 윈도우 7 시스템에서만 악용이 가능하다.

이후의 버전에는 MS가 도입한 익스플로잇 방지 및 완화 장치들이 작동하기 때문이다.

또한 실제 공격에 활용되고 있는 익스플로잇들도 윈도우 7 32비트 시스템만을 겨냥하고 있다.

현재시각 기준으로 이미 구글은 취약점을 제보하였으나 기간이 얼마되지 않았기 때문에

패치는 이루어지지 않았다. 구글이 이 정보를 공개한 이유는 굉장히 위험한 취약점이며

여전히 활발하기 남용되고 있는데 방어가 그리 어렵지 않기 때문이라고 한다.

또한 구글 관계자는 취약점 설명에 덧붙여서 크롬 취약점을 방어하기 위해

크롬 사용자들의 최신 업데이트 확인을 추천하였다.

---

* 지극히 개인적인 나의 생각 *

아직 시스템 해킹을 공부한지 1달이 정도된 시점에서는 그저 '나도 저런거 해보고 싶다'

라는 생각이 많이 들뿐이다.ㅎㅎ 어쨌든 윈도우 7을 사용하는 사람들이 아직도 많기 때문에

굉장히 위험성이 높은 취약점이라고 생각한다. 당연히 윈도우 10으로 업그레이드해서 위험성을 낮추는 것이 좋다.

 NULL Pointer Dereference 취약점이라서 방어가 어렵지 않다고 말한 거 같다. 

이러한 NULL Pointer Dereference가 일어나지 않도록 하려면

 모든 포인터나 레퍼런스 또는 널 포인터가 할당될 가능성이 있는 포인터 및 레퍼런스를

사용하기 전에 널 포인터 체크를 해야한다. 보통 이러한 NULL Pointer Dereference가 일어나면

일일이 개발자가 찾아야하는 노동이라고 한다. 그렇기 때문에 정적 분석 도구를 이용해서 찾는방법이 있다.

참고로 널포인터는 대부분의 OS에서 메모리의 첫 페이지 주소 0(0x00000000)을 사용한다고한다.

그렇기 때문에 접근하게 되면 프로그램이 비정상적으로 종료되는 것이다.

그렇기 때문에 무언가 NULL Pointer Dereference가 일어날 것을 대비한

조건문을 걸어주는 것도 하나의 방법이라고 생각한다.

---

* 사용시에 NULL Pointer Dereference를 주의해야하는 경우들 *

malloc 함수 호출 시 메모리가 부족한 경우

getenv() 함수를 사용했는데 해당 환경 변수가 없는데 이 return 값을 포인터에 대입하는 경우

라이브러리를 다룰 때 등 제대로 리턴값을 확인하지 않고 사용하는 경우 발생한다.