그동안 비교적 보안상 안전하다고 인식돼 왔던 가상화 운영체제(OS)에서도 보안 취약점이 발견됐다.
29일 보안업체 트렌드마이크로에 따르면 지난 15일부터 17일까지 캐나다 벤쿠버에서 개최된 해킹대회인 '폰투오운(Pwn2Own)'에서 참가 해커들이 VM웨어(VMware) '워크스테이션' 가상머신을 뚫고 우회, 호스트 운영체제(OS)로 접근하는 데 성공한 것으로 나타났다.
중국의 참가 팀인 '360시큐리티'와 '텐센트 시큐리티팀 스나이퍼'는 워크스테이션의 단일 취약점이 아닌 다중 취약점을 연관하는 방식으로 해킹에 성공했다. 360시큐리티팀은 마이크로소프트(MS) 엣지 웹브라우저의 메모리 힙오버플로우 취약점, 윈도 커널 취약점, VM웨어 버퍼오버플로우 취약점을 연쇄적으로 활용했다. 텐센트팀도 마찬가지로 윈도 커널 취약점, VM웨어 워크스테이션 정보 유출 취약점을 노렸다.
가상화란 1대의 물리적 서버에 가상의 여러 OS를 설치해 다양한 PC를 사용할 수 있게 것처럼 하는 것으로 감염되더라도 실제 시스템에는 영향을 미치지 않아 안전하다는 인식이 강했다. 이 같은 결과에 가상화 솔루션도 결국 보안 취약점이 존재하는 추가적인 하나의 소프트웨어(SW)임을 인지하고, 관련 보안 연구와 보호 대책이 지속적으로 이뤄져야 한다는 보안업계의 견해다.
특히 한국인터넷진흥원(KISA)은 가상환경의 보안은 가상화 SW(하이퍼바이져)뿐만 아니라 게스트 OS, 브라우져 등 관련 SW의 보안도 함께 고려해야 한다고 강조했다. 이창훈 카스퍼스키랩코리아 대표는 "가상화가 안전하다고 인식된 이유는 리셋으로 손쉽게 초기 상태로 돌릴 수 있는 보험 기능이 있고, 실제 시스템과 연결이 되어있지 않다는 잘못된 생각 때문"이라며 "가상화 OS에도 악성코드가 지속적인 피해를 끼친다면 실제 시스템 자체가 망가질 수 있다"고 지적했다.
한편 폰투오운은 지난 2007년부터 시작된 해킹대회로 올해에는 100만달러(11억원)의 상금을 걸고 진행, 총 51 개의 취약점이 발견됐으며 발견된 취약점은 비공개로 각 기업에 제공된다.
이경탁기자 kt87@dt.co.kr
29일 보안업체 트렌드마이크로에 따르면 지난 15일부터 17일까지 캐나다 벤쿠버에서 개최된 해킹대회인 '폰투오운(Pwn2Own)'에서 참가 해커들이 VM웨어(VMware) '워크스테이션' 가상머신을 뚫고 우회, 호스트 운영체제(OS)로 접근하는 데 성공한 것으로 나타났다.
중국의 참가 팀인 '360시큐리티'와 '텐센트 시큐리티팀 스나이퍼'는 워크스테이션의 단일 취약점이 아닌 다중 취약점을 연관하는 방식으로 해킹에 성공했다. 360시큐리티팀은 마이크로소프트(MS) 엣지 웹브라우저의 메모리 힙오버플로우 취약점, 윈도 커널 취약점, VM웨어 버퍼오버플로우 취약점을 연쇄적으로 활용했다. 텐센트팀도 마찬가지로 윈도 커널 취약점, VM웨어 워크스테이션 정보 유출 취약점을 노렸다.
가상화란 1대의 물리적 서버에 가상의 여러 OS를 설치해 다양한 PC를 사용할 수 있게 것처럼 하는 것으로 감염되더라도 실제 시스템에는 영향을 미치지 않아 안전하다는 인식이 강했다. 이 같은 결과에 가상화 솔루션도 결국 보안 취약점이 존재하는 추가적인 하나의 소프트웨어(SW)임을 인지하고, 관련 보안 연구와 보호 대책이 지속적으로 이뤄져야 한다는 보안업계의 견해다.
특히 한국인터넷진흥원(KISA)은 가상환경의 보안은 가상화 SW(하이퍼바이져)뿐만 아니라 게스트 OS, 브라우져 등 관련 SW의 보안도 함께 고려해야 한다고 강조했다. 이창훈 카스퍼스키랩코리아 대표는 "가상화가 안전하다고 인식된 이유는 리셋으로 손쉽게 초기 상태로 돌릴 수 있는 보험 기능이 있고, 실제 시스템과 연결이 되어있지 않다는 잘못된 생각 때문"이라며 "가상화 OS에도 악성코드가 지속적인 피해를 끼친다면 실제 시스템 자체가 망가질 수 있다"고 지적했다.
한편 폰투오운은 지난 2007년부터 시작된 해킹대회로 올해에는 100만달러(11억원)의 상금을 걸고 진행, 총 51 개의 취약점이 발견됐으며 발견된 취약점은 비공개로 각 기업에 제공된다.
이경탁기자 kt87@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
