Android 커널 USB 하위 구성 요소 취약점 악용 사례 및 보안 패치 현황

Google Releases Android Update to Patch Two Actively Exploited Vulnerabilities

 

Google fixed two actively exploited Android zero-days

 

• 주요 취약점 요약
  • CVE-2024-53150
    • 커널 USB 하위 구성 요소의 경계 외 메모리 접근 취약점
    • 악성 USB 디바이스로 인해 정보 노출 가능성 존재
    • CVSS 점수 7.8로 고위험군 분류
    • ALSA USB-Audio의 잘못된 디스크립터 길이 처리에 따른 메모리 접근 오류
  • CVE-2024-53197
    • 동일 커널 구성 요소에서 발생하는 권한 상승(Escalation of Privilege) 취약점
    • CVSS 점수 7.8로 분류되며, 사용자 상호작용 없이 원격 권한 상승 가능
    • 취약점은 Cellebrite의 공격 체인에서 악용되어 세르비아 활동가의 안드로이드 기기 탈취에 사용됨
• 관련 취약점 체인
  • CVE-2024-53104: 2025년 2월 패치 완료
  • CVE-2024-50302: 2025년 3월 패치 완료
  • CVE-2024-53197, CVE-2024-53150: 2025년 4월 패치로 최종 체인 차단
• 악용 및 배경
  • 국제 인권단체 앰네스티 보고서에 따르면 해당 취약점들은 표적형 공격에 실제 활용
  • Cellebrite 도구가 세르비아 경찰에 의해 언론인 및 활동가의 기기 침투에 악용된 사례 포함
  • 미국 사이버안보 및 인프라 보안국(CISA)는 두 취약점을 Known Exploited Vulnerabilities(KEV) 목록에 추가하며 2025년 4월 30일까지 연방기관 패치 의무화
• Google의 대응
  • 2025년 4월 보안 공지를 통해 총 62건의 취약점 패치
  • 그 중 CVE-2024-53150, CVE-2024-53197은 제로데이(Zero-day)로 실사용에서 이미 악용됨을 공식 확인
  • 2025-04-01, 2025-04-05 보안 패치 레벨로 구분된 업데이트 배포
  • Android OEM 제조사별 배포 일정에 맞춰 사용자에게 패치 적용 권고
• 결론
  • USB 구성 요소를 포함한 커널 취약점은 표적형 공격자에 의해 장기간 은닉 및 체인 형태로 악용됨
  • 제로데이 체인 대응을 위한 커널 단위 코드 검증 강화 및 메모리 접근 보호 메커니즘 필요
  • USB 디바이스 연결시 실행되는 자동 감지 루틴의 취약한 부분에 대한 하드닝이 중요
  • 보안 업데이트가 OEM 단에 의해 지연 배포되는 경우, 고위험 사용자는 Pixel 기기 등 신속한 패치 라인을 고려하는 것이 바람직
  • 정부기관, 언론인, 인권운동가 등 고위험군 대상의 디지털 보안 훈련 및 검증된 OS 채택 필요