▲

Chromium, 수정된 익스플로잇을 4년 뒤 공개했지만 실제로는 미수정 상태로 드러남

 (infosec.exchange)
1P by GN⁺ 3시간전 | ★ favorite | 댓글 1개
  • 2022년 발견된 Chromium 기반 브라우저 취약점은 사용자 상호작용 없이 브라우저를 영구적인 JavaScript 봇넷 구성원으로 만들 수 있었음
  • Microsoft Edge에서는 이상 징후 없이 브라우저를 닫은 뒤에도 C2 연결과 JavaScript 실행이 유지될 수 있었음
  • 해당 Chromium 이슈는 거의 4년 뒤 공개됐지만, 공개 직후 여전히 동작하는 것으로 확인되어 다시 비공개 전환됨
  • 현재 Edge에서는 다운로드 메뉴도 뜨지 않아 단일 웹사이트 방문만으로 조용한 JavaScript RCE가 가능하다고 확인됨
  • uBlock 필터로는 완화가 불가능하며, NoScript는 해당 페이지의 JavaScript 또는 Service Worker 비활성화로 막을 수 있음

Chromium 기반 브라우저 취약점의 공개와 재비공개

  • Rebane가 2022년에 발견한 버그는 사용자 상호작용 없이 임의의 Chromium 기반 브라우저를 영구적인 JavaScript 봇넷 구성원으로 만들 수 있었음
  • Microsoft Edge에서는 사용자가 이상 징후를 보지 못한 채, 브라우저를 닫은 뒤에도 C2 연결과 JavaScript 실행이 유지될 수 있었음
  • 관련 Chromium 이슈는 거의 4년 뒤 issues.chromium.org/issues/40062121에 공개됨
  • 공개 직후 해당 문제가 제대로 수정되지 않았고 여전히 동작한다는 점이 확인됨
  • 이후 이슈는 다시 비공개로 전환됨

현재 확인된 영향

  • Edge에서는 더 이상 다운로드 메뉴도 뜨지 않아, 단일 웹사이트 방문만으로 완전히 조용한 JavaScript RCE가 가능하다고 확인됨
  • 실행된 JavaScript는 브라우저를 닫은 뒤에도 계속 실행될 수 있음
  • 원문에는 시연 영상이 포함됐지만, 텍스트상 구체적인 재현 절차는 공개되지 않았음
  • Ars Technica 기사 인용에서는 Brave, Opera, Vivaldi, Arc도 취약한 브라우저로 언급됨

완화 가능성

  • uBlock 필터로는 이 취약점을 완화할 수 없음
  • NoScript는 해당 페이지에서 JavaScript 또는 Service Worker를 비활성화하면 완화가 가능함
  • 한 사용자는 Manifest v2 기반 uBlock Origin이 CSP 정책을 주입해 worker-src 'none'을 설정하는 방안을 제안함
  • 이 방식이 Service Worker를 사용하는 확장 기능을 깨뜨릴 수 있는지, 확장이 다른 확장에 CSP 헤더를 주입할 수 있는지는 확실하지 않음
  • Chromium 기반 브라우저에서 uBlock으로 Service Worker를 비활성화하는 방법도 공유됨

남은 질문과 공개 경위

  • 일부 답글은 “Background fetch”를 언급했지만, 원문에서 이 기능과 취약점의 관계가 명확히 확인되지는 않음
  • Service Worker 프로세스가 Edge에서 메인 브라우저 프로세스 없이도 남는지, Edge의 백그라운드 실행을 끄면 브라우저 종료 뒤 실행이 막히는지는 명확한 답이 없음
  • 한 사용자는 Chromium 이슈의 comment56을 가리키며 공개 주체가 Chromium 쪽이었다고 언급함
  • 공개된 이슈는 이후 다시 비공개로 설정됐으며, 일부 사용자는 archive.today, archive.is, archive.ph에 아카이브가 남아 있다고 언급함

함께 보면 좋은 글 β

▲
GN⁺ 3시간전  [-]
Lobste.rs 의견들

  • "아직도 충분히 악용 가능해 보이는 거 아닌가?"에 "안 해봤는데 아니길 바람", "아 안 돼.."로 이어지는 흐름은 볼 때마다 묘하게 웃긴 대화임

  • 이건 브라우저 RCE라고 부르기엔 애매함
    example.com을 열면 example.com이 내 브라우저 안에서 코드를 실행할 수 있다는 의미의 RCE와 비슷한 수준임
    열린 탭이 닫힌 뒤에도 자원을 계속 쓰는 건 문제지만, 보통 말하는 브라우저 원격 코드 실행과는 거리가 있음

    • 가장 큰 위협은 "감염된" 사용자보다 더 넓은 인터넷 쪽에 있어 보임
      저렴하게 분산 봇넷을 돌리거나 가정용 IP를 팔 수 있는 방법처럼 보임
    • 누가 이걸 RCE라고 주장하는지는 잘 모르겠음

  • Twitter와 그 클론들은 왜 항상 사용자 경험이 이렇게 나쁜지 모르겠음
    시간순으로 정렬되지 않은 글을 읽다 보면 뇌졸중 오는 느낌임
    아마 내가 기술 문맹 부머가 되어가는 걸지도 모름

    • Lobsters도 비슷하지 않나?
      거기도 스레드 기준으로 정리되어 있음
답변달기