보안 업체 Eye Security가 방치된 Popcorn Time 포크 'Time4Popcorn'의 업데이터 결함이 수백만 대 기기를 원격 코드 실행 위험에 노출했다고 밝혔다. 연구진은 버려진 업데이트 도메인을 직접 등록하면서 문제를 확인했다.
CVE-2026-30612로 추적되는 이 결함은 Windows와 macOS 업데이터가 암호화되지 않은 HTTP로 업데이트를 받고 디지털 서명도 검증하지 않는 데서 비롯됐다. 도메인을 쥔 쪽은 Windows에서 SYSTEM, macOS에서 root 권한으로 코드를 실행할 수 있었다. 연구진은 최대 300만 건의 Windows 연결과 35만 건의 macOS 연결을 관찰했다.
Eye Security는 관련 도메인 14개를 추가로 등록하고, 취약한 업데이터를 통해 업데이터 자체를 멈추는 코드를 배포했다. 이 코드는 호스트 정보를 수집하거나 파일을 지우지 않았다고 한다. 이후 업데이트 도메인 요청은 2026년 3월 1일까지 98% 줄었고, 도메인은 Shadowserver 재단에 이전됐다.
Android 버전은 업데이트에 사용자 조작이 필요해 원격으로 막지 못해 여전히 위험하다. 앱이 2014년식 낡은 Chrome 엔진을 쓰는 점도 문제로 지적됐으며, 연구진은 해당 소프트웨어를 완전히 삭제하라고 권고했다.
원문: BleepingComputer
이 글은 원문에 담긴 사실을 바탕으로 Raon Community가 새로 작성한 기사입니다. 원문의 저작권은 원저작자에게 있으며, 자세한 내용은 원문에서 확인해 주세요.