구글은 안드로이드의 취약점을 고칠 모든 최근의 패치를 기술한 11월 보안 뉴스를 발표했다.

 

그러나 중요한 패치가 빠진 것 같다.

 

소위 ‘더러운 COW’라 불리는 리눅스 커널 취약점은

 

커널 버전 2.6.22. 또는 보다 신형 버전을 사용하는 모든 리눅스와 안드로이드 기기에 영향을 준다.

 

그리고 원격 권한 상승을 허용하는 높은 심각도의 버그이며 현존의 OS 보호로도 막을 수가 없다.

 

 

10년이나 된 리눅스 버그

 

 

더러운 COW는 최근 여러 해 동안 가장 심각한 리눅스 버그중의 하나로 간주되고 있다.

 

단지 그 버그가 권한 상승을 허용하는 것뿐만 아니라 (많은 버그들이 할 수 있는 것)

 

또한 지난 십년 동안의 모든 리눅스와 안드로이드 기기에 영향을 끼칠 수 있기 때문이다.

 

더욱 나쁜 것은 아주 오래된 버그이기 때문에 활발하게 잘못된 의도로 이용될 수도 있다.

 

(지금까지는 안 그랬더라도 미래에 공개가 되면 확실히 그렇게 될 것이다.)

 

기기들이 빨리 패치되지 않으면 이 버그는 공격자들에게 약 십오억 개의 목표물을 제공한다.

 

안드로이드에겐 행동보다는 말이 쉬운 사건이다.

 

 

더러운 COW는 이 버그가 Copy On Write(COW)라는

 

자원 관리 메카니즘에 영향을 끼친다는 의미로 이름이 붙여졌다.

 

권한이 없는 로컬 사용자가 읽기만 할 수 있는 메모리에 쓰기 접근을 할 수 있고

 

시스템에서 그들의 권한을 올릴 수 있다.

 

 

이 버그는 처음으로 5월에 발견되었다.

 

보안 연구가들이 모든 사람, 특히 잠재적인 공격자들이 그것에 대해 알기 전에

 

고침 프로그램을 만들기 위해 협력을 한 지난달에 공개되었다.

 

 

 

왜 더러운 COW 패치 프로그램이 안드로이드에서 이용하지 못하는 이유

 

 

리눅스 사용자들은 이미 더러운 COW 패치를 그들의 시스템에 적용하기 시작했다.

 

그러나 안드로이드 사용자들은 불행하게도 그렇지 못하다.

 

구글이 안드로이드 취약점에 대비해 새로운 패치를 만드는 데

 

그 취약점들이 OEM에 보내지고 한 달이 걸리기 때문에

 

더러운 COW 패치는 11월 보안 업데이트에 포함될 수 없었다.

 

이런 과정이 존재하기 때문에 구글은 OEM과 협력을 할 수 있고

 

그들은 구글이 패치를 공개하는 거의 같은 시간대에 그들 기기의 패치를 배포할 수 있다.

 

또한 협력해서 배포를 하면 공개된 취약점에 대비해 적어도 몇몇 기기는 고칠 수 있다.

 

그러나 업데이트가 안 된 기기들(또는 상당한 시간 동안 업데이트를 받지 못하는)은

 

새로운 소프트웨어 결점을 악용하는 새로운 공격에 여전히 노출될 수밖에 없다.

 

 

 

11월 업데이트에서 고쳐진 다른 심각한 문제점들

 

 

안드로이드 팀은 지난 2개월동안 개선된 최신 버전의 안드로이드에서

 

오직 2개의 중요 취약점을 발견했다.

 

그러나 이중 하나의 문제점은 한번 더 미디어서버 라이브러리와 관련되어 있다.

 

안드로이드 7.0의 다양한 미디어 서버 라이브러리 구성 프로그램을 샌드박싱화했는데도 불구하고

 

거의 매달마다 더 많은, 중요한 또는 높은 심각도의 버그를 발견하고 있다.

 

 

그래픽, 블루투쓰, OpenJDK, 시스템 UI, 안드로이드 런타임 그리고 운영체제의 BoringSSL 암호 프로그램에서도

 

다른 높은 심각도 그리고 중간단계정도의 문제점이 발견 되고 있다.

 

구글은 또한 퀄컴의 암호화와 카메라 드라이버, 그리고 엔비디아의 GPU 드라이버에서도

 

여러개의 중요하고 높은 심각도의 버그를 발견했다.

 

 

구글의 월간 보안 뉴스와 패치는 안드로이드 생태계의 안전을 위해 한 발자국 나아간 조치이다.

 

그러나 또한 패치가 안 된 안드로이드 기기가 얼마나 취약점이 많은지도 보여주고 있다.

 

--구글은 매달 수십개의 새롭고 중요하고, 높은 정도 그리고 중간정도의 심각도를 가진 안드로이드 버그를 발견한다.

 

 

구글은 안티-멀웨어 서비스 (“앱 검사하기”)를 통해 이러한 공격으로부터

 

대다수의 사용자들을 보호할 수 있을 지는 모른다.

 

그러나 개인들을 향해 목표된 공격이나 현실에서는 재빨리 확인하기 어려운

 

작은 규모(100,000이하의 사용자)의 감염에는 효과적으로 동작하기 어려울 것이다.