# Chromium, 수정된 익스플로잇을 4년 뒤 공개했지만 실제로는 미수정 상태로 드러남

> Clean Markdown view of GeekNews topic #29736. Use the original source for factual precision when an external source URL is present.

## Metadata

- GeekNews HTML: [https://news.hada.io/topic?id=29736](https://news.hada.io/topic?id=29736)
- GeekNews Markdown: [https://news.hada.io/topic/29736.md](https://news.hada.io/topic/29736.md)
- Type: GN+
- Author: [neo](https://news.hada.io/@neo)
- Published: 2026-05-21T23:01:50+09:00
- Updated: 2026-05-21T23:01:50+09:00
- Original source: [infosec.exchange](https://infosec.exchange/@rebane2001/116606719764376414)
- Points: 1
- Comments: 1

## Topic Body

- **2022년 발견된 Chromium 기반 브라우저 취약점**은 사용자 상호작용 없이 브라우저를 영구적인 JavaScript 봇넷 구성원으로 만들 수 있었음
- Microsoft Edge에서는 이상 징후 없이 브라우저를 닫은 뒤에도 **C2 연결**과 JavaScript 실행이 유지될 수 있었음
- 해당 Chromium 이슈는 거의 4년 뒤 공개됐지만, 공개 직후 여전히 동작하는 것으로 확인되어 다시 **비공개** 전환됨
- 현재 Edge에서는 다운로드 메뉴도 뜨지 않아 단일 웹사이트 방문만으로 **조용한 JavaScript RCE**가 가능하다고 확인됨
- uBlock 필터로는 완화가 불가능하며, NoScript는 해당 페이지의 JavaScript 또는 **Service Worker** 비활성화로 막을 수 있음

---

### Chromium 기반 브라우저 취약점의 공개와 재비공개
- Rebane가 2022년에 발견한 버그는 **사용자 상호작용 없이** 임의의 Chromium 기반 브라우저를 영구적인 JavaScript 봇넷 구성원으로 만들 수 있었음
- Microsoft Edge에서는 사용자가 이상 징후를 보지 못한 채, 브라우저를 닫은 뒤에도 **C2 연결**과 JavaScript 실행이 유지될 수 있었음
- 관련 Chromium 이슈는 거의 4년 뒤 [issues.chromium.org/issues/40062121](https://issues.chromium.org/issues/40062121)에 공개됨
- 공개 직후 해당 문제가 제대로 수정되지 않았고 여전히 동작한다는 점이 확인됨
- 이후 이슈는 다시 비공개로 전환됨

### 현재 확인된 영향
- Edge에서는 더 이상 다운로드 메뉴도 뜨지 않아, 단일 웹사이트 방문만으로 **완전히 조용한 JavaScript RCE**가 가능하다고 확인됨
- 실행된 JavaScript는 브라우저를 닫은 뒤에도 계속 실행될 수 있음
- 원문에는 시연 영상이 포함됐지만, 텍스트상 구체적인 재현 절차는 공개되지 않았음
- Ars Technica 기사 인용에서는 **Brave, Opera, Vivaldi, Arc**도 취약한 브라우저로 언급됨

### 완화 가능성
- uBlock 필터로는 이 취약점을 완화할 수 없음
- NoScript는 해당 페이지에서 JavaScript 또는 **Service Worker**를 비활성화하면 완화가 가능함
- 한 사용자는 Manifest v2 기반 uBlock Origin이 CSP 정책을 주입해 `worker-src 'none'`을 설정하는 방안을 제안함
  - [uBlock Origin Static filter syntax: CSP](https://github.com/gorhill/uBlock/wiki/Static-filter-syntax#csp)
  - 예시로 `||$csp=worker-src 'none'` 형태를 들며 Service Worker를 전역 비활성화하는 접근을 제시함
- 이 방식이 Service Worker를 사용하는 확장 기능을 깨뜨릴 수 있는지, 확장이 다른 확장에 CSP 헤더를 주입할 수 있는지는 확실하지 않음
- Chromium 기반 브라우저에서 uBlock으로 Service Worker를 비활성화하는 방법도 공유됨
  - [How to disable Service Workers on Chromium based browsers through uBlock](https://bonina.eu/web/disable-service-workers-chromium-browsers/)

### 남은 질문과 공개 경위
- 일부 답글은 “Background fetch”를 언급했지만, 원문에서 이 기능과 취약점의 관계가 명확히 확인되지는 않음
- Service Worker 프로세스가 Edge에서 메인 브라우저 프로세스 없이도 남는지, Edge의 백그라운드 실행을 끄면 브라우저 종료 뒤 실행이 막히는지는 명확한 답이 없음
- 한 사용자는 Chromium 이슈의 [comment56](https://issues.chromium.org/issues/40062121#comment56)을 가리키며 공개 주체가 Chromium 쪽이었다고 언급함
- 공개된 이슈는 이후 다시 비공개로 설정됐으며, 일부 사용자는 archive.today, archive.is, archive.ph에 아카이브가 남아 있다고 언급함

## Comments



### Comment 58023

- Author: neo
- Created: 2026-05-21T23:01:50+09:00
- Points: 1

###### [Lobste.rs 의견들](https://lobste.rs/s/e7lsqn/chromium_publishes_fixed_exploit_4_years) 
- "아직도 충분히 악용 가능해 보이는 거 아닌가?"에 "안 해봤는데 아니길 바람", "아 안 돼.."로 이어지는 흐름은 볼 때마다 **묘하게 웃긴 대화**임

- 이건 **브라우저 RCE**라고 부르기엔 애매함  
  example.com을 열면 example.com이 내 브라우저 안에서 코드를 실행할 수 있다는 의미의 RCE와 비슷한 수준임  
  열린 탭이 닫힌 뒤에도 자원을 계속 쓰는 건 문제지만, 보통 말하는 브라우저 원격 코드 실행과는 거리가 있음
  - 가장 큰 위협은 "감염된" 사용자보다 **더 넓은 인터넷** 쪽에 있어 보임  
    저렴하게 분산 봇넷을 돌리거나 **가정용 IP**를 팔 수 있는 방법처럼 보임
  - 누가 이걸 RCE라고 주장하는지는 잘 모르겠음

- Twitter와 그 클론들은 왜 항상 **사용자 경험**이 이렇게 나쁜지 모르겠음  
  시간순으로 정렬되지 않은 글을 읽다 보면 뇌졸중 오는 느낌임  
  아마 내가 기술 문맹 부머가 되어가는 걸지도 모름
  - Lobsters도 비슷하지 않나?  
    거기도 **스레드 기준**으로 정리되어 있음