보안 연구원 마크 블라가 안드로이드의 'SMS 데스' 취약점(CVE-2026-58882)을 이용하는 개념 증명 공격 코드를 공개했다. 이 결함은 이미 패치됐지만, 공격 코드가 풀리면서 업데이트를 받지 못한 기기가 위험에 놓였다.
악성 문자를 받으면 사용자가 아무것도 하지 않아도 휴대폰의 통신 기능이 멈추거나 기기가 다시 시작된다. 통화가 끊길 수 있고 긴급 전화도 예외가 아니다. 문자가 수신함에 도착하기 전에 처리돼 사용자는 원인을 알아채기 어렵다.
원인은 WAP 푸시 메시지를 해석하는 함수가 헤더 길이 값을 제대로 검증하지 않는 데 있다. 값이 음수로 바뀌어 메모리를 할당하는 순간 예외가 발생하고, 통신을 담당하는 프로세스가 강제 종료된다. 공격에는 8바이트짜리 변형 메시지가 쓰인다.
구글은 10월 안드로이드 보안 업데이트에서 안드로이드 14~17용 수정본을 배포한 것으로 알려졌지만, 해당 항목은 공식 보안 공지에 나와 있지 않다. 안드로이드 12와 13 기기는 수정이 제공되지 않아 취약한 상태다.
악성 문자 20통을 보내자 안드로이드 12 기기가 약 90초마다 복구 모드로 재부팅을 반복해 공장 초기화가 필요했다는 테스트 결과도 있다. 사용자는 가능한 한 빨리 최신 보안 업데이트를 설치해야 한다.
원문: BleepingComputer
이 글은 원문에 담긴 사실을 바탕으로 Raon Community가 새로 작성한 기사입니다. 원문의 저작권은 원저작자에게 있으며, 자세한 내용은 원문에서 확인해 주세요.