“IE 통해 사용자 컴퓨터 속 파일 볼 수 있다” 보안이슈 제기

“IE 통해 사용자 컴퓨터 속 파일 볼 수 있다” 보안이슈 제기

마이크로소프트의 인터넷 익스플로러(IE)가 해커가 개인 컴퓨터 속 파일을 열람할 수 있도록 할 수도 있다는 지적이 나왔다. 마이크로소프트가 긴급패치를 배포한지 며칠 되지 않아 제기된 문제라 더욱 주목된다.

 

코어 시큐리티 테크놀로지(Core Security Technologies)의 보안 컨설턴트인 조지 루이스 알바레 스 메디나는 실제로 이 문제점은 2년 전에 발견되었고 두 번의 수정 노력에도 불구하고 아직까지 문제점으로 남아있다고 전했다. 그는 좀 더 자세한 내용을 오는 2월 3일 워싱턴 D.C.에서 있을 블랙 햇(Black Hat) 컨퍼런스에서 발표할 예정이다.

 

이 이슈는 해커가 개인의 컴퓨터 안의 파일을 볼 수 있도록 하지만, 어떤 코드도 설치하지는 않는다. 그럼에도 불구하고 메디나는 이 문제점이 윈도우 NT부터 윈도우 7Rkwl, 그리고 IE8을 포함한 모든 버전의 IE에서 나타나는 문제점이기 때문에 심각한 것이라고 지적했다.

설명에 따르면, 이 해킹은 희생자가 공격자가 일부러 클릭하도록 유도한 악성 URL을 클릭하면, 해커가 4~5개의 IE 기능을 조작해서 순수 HTML이 아닌 파일을 브라우저가 처리하도록 한다.

 

코어측은 마이크로소프트에게 이 공격에 대해서 2008년 알렸으며, 브라우저에 수정할 것을 제안했다. 그러나 이 같은 수정에도 불구하고 메디나는 같은 공격을 할 수 있는 방법을 찾아냈다. 취약점보다는 기능과 더 관련이 깊은 이슈이기 때문에 마이크로소프트가 영구적으로 수정하기는 힘들 것이라는 것이 메디나의 설명이다.

 

코어는 이 이슈와 관련해 마이크로소프트와 긴밀히 협력하고 있다. 마이크로소프트는 2월 9일 패치를 배포할 예정이지만, 이 문제점을 수정할지 여부에 대해서는 알려지지 않았다.

 

마이크로소프트는 “현재 취약점을 이용한 공격 중에 알아내지 못한 것이나 고객들의 피해에 대해서 조사하고 있다”라고 전했다.

 

한편, 마이크로소프트는 구글을 비롯한 30여개의 미국 회사를 해킹한 사건인 오로라(Aurora) 공격에 이용된 IE의 제로데이 취약점 패치를 지난 주 배포했다. 

원문보기