보안 스타트업 네뷰섹이 안드로이드용 텔레그램 음성통화 기능의 결함을 공개했다. 현지시각 29일 공개된 내용으로, 일반 텔레그램 계정 하나만 있으면 공격이 가능하고 피해자가 전화를 받기만 해도 휴대폰에서 공격자가 코드를 실행할 수 있다는 주장이다. 보안뉴스가 10월 31일 이를 보도했다.
결함은 통화 중 주고받는 짧은 신호를 처리하는 과정에 있다. 이 신호에는 상대 앱 정보와 마이크 음소거 여부, 카메라 상태, 영상 회전 정보가 담긴다. 네뷰섹은 신호를 읽는 코드가 빠진 항목을 제대로 다루지 못해 접근해서는 안 되는 메모리에 접근한다고 설명했다. 더해커뉴스는 공개된 12.10.3 버전 소스코드에서 이와 맞는 결함을 직접 확인했다고 전했다.
영향을 받는 버전은 8.6.2부터 12.10.3까지로, 2022년 3월부터 2026년 9월 사이에 배포됐다. 확인된 조건은 ARM64 기반 휴대폰의 일대일 통화다. 아이폰 앱이나 데스크톱 앱, 그룹 통화가 영향을 받는다는 증거는 아직 없다. 실제 공격에 쓰였는지, 공격 코드가 기기의 어디까지 접근할 수 있는지도 확인되지 않았다.
네뷰섹은 두 대의 휴대폰이 나오는 시연 영상을 공개했다. 피해자가 전화를 받고 약 30초 뒤 홈 화면이 바뀌며 네뷰섹 로고가 나타난다. 다만 영상에는 피해 기기의 앱과 안드로이드 버전이 나오지 않고 기술 보고서도 아직 없어, 코드 실행 경로는 영상과 업체 설명에 의존한다. CVE 번호도 아직 부여되지 않았다.
수정은 4월 21일 텔레그램 통화 라이브러리에 '카메라 회전 수정'이라는 이름으로 먼저 반영됐다. 이후 아이폰 앱은 5월 12.7 버전, 데스크톱은 7월 7.0.1 버전, 안드로이드는 9월 12.10.4 버전에서 적용됐다. 안드로이드 수정이 가장 늦었다는 점이 지적됐다.
안드로이드 사용자는 텔레그램 설정 화면 맨 아래에 표시되는 버전이 12.10.4 이상인지 확인하는 것이 좋다.
원문: 보안뉴스
이 글은 원문에 담긴 사실을 바탕으로 Raon Community가 새로 작성한 기사입니다. 원문의 저작권은 원저작자에게 있으며, 자세한 내용은 원문에서 확인해 주세요.