구글, 수정되지 않은 Chromium 버그에 대한 익스플로잇 코드 공개

구글은 아직 수정되지 않은 Chromium 엔진 내 취약점에 대한 익스플로잇 코드를 공개하는 이례적인 조치를 취했습니다. 이 조치는 보안 커뮤니티 내에서 큰 논의를 불러일으켰는데, 패치되지 않은 버그에 대한 작동 가능한 익스플로잇 코드를 공개하면 일반적으로 패치가 배포되기 전에 악의적인 행위자에 의해 광범위한 악용 위험이 증가하기 때문입니다.

취약점 이해

문제의 버그는 Chromium 브라우저 내 서비스 워커의 동작에 초점을 맞추고 있습니다. 서비스 워커는 웹 페이지와 별도로 백그라운드에서 실행되는 스크립트로, 푸시 알림 및 오프라인 기능과 같은 기능을 가능하게 합니다. 일반적으로 이러한 워커는 정의된 수명 주기를 가지고 있으며, 리소스를 절약하기 위해 브라우저에 의해 종료됩니다.

하지만 이 특정 취약점은 서비스 워커가 무한히 지속될 수 있게 합니다. 매우 큰 파일의 다운로드를 시작하고 다운로드가 완료되지 않도록 함으로써, 서비스 워커는 브라우저를 속여 해당 프로세스를 영원히 유지하도록 만들 수 있습니다.

잠재적 보안 영향

이 취약점이 즉각적인 원격 코드 실행(RCE)이나 전체 시스템 침해를 허용하지 않을 수 있지만, 그 영향은 무시할 수 없습니다. 주요 위험은 악성 사이트가 사용자의 기기에 지속적인 존재감을 유지할 수 있다는 점에 있습니다.

리소스 남용 및 추적

지속적인 서비스 워커는 여러 악의적인 목적에 활용될 수 있습니다:

• Cryptojacking: 워커는 사용자의 인지 없이 백그라운드에서 암호화폐를 채굴하는 데 사용될 수 있습니다.
• Botnet Integration: 브라우저를 분산 서비스 거부(DDoS) 공격이나 기타 협조된 봇넷 활동을 위한 노드로 전환할 수 있습니다.
• User Tracking: 장기 연결을 유지함으로써 공격자는 장기간에 걸쳐 사용자의 IP 주소 활동을 추적할 가능성이 있습니다.

네트워크 접근 및 CORS 제한

서비스 워커가 네트워크 요청을 수행할 수 있는 능력은 교차 출처 리소스 공유(CORS) 정책에 의해 제한됩니다. 커뮤니티 분석에 따르면, 워커는 요청을 할 수 있지만 CORS가 필요하지 않은 경우에만 가능합니다. 이는 공격자가 다른 보안 웹사이트에서 민감한 데이터를 탈취하는 능력을 제한하지만, 위험을 완전히 없애지는 못합니다.

"CORS 없이 요청을 할 수 있는데, 이는 기업 VPN 뒤에 있는 약하게 보안된 HTTP 리소스에 접근하는 데 유용할 수 있습니다..."

이는 기업 인트라넷이나 VPN 뒤에 있는 내부의 약하게 보안된 HTTP 리소스가 지속적인 서비스 워커에 의해 탐색되거나 데이터가 유출될 위험이 있음을 의미합니다.

공개 공개의 논란

수정되지 않은 버그에 대한 익스플로잇 코드를 공개하는 결정은 표준 책임 있는 공개 절차와는 다릅니다. 일반적으로 공급업체는 패치가 제공될 때까지 익스플로잇을 만들 수 있는 기술 세부 정보를 공개하지 않습니다. 구글이 지금 코드를 공개함으로써, Chrome, Edge, Brave 등 Chromium 기반 브라우저 수백만 대를 대상으로 공격자가 활용할 수 있는 청사진을 제공한 셈입니다.