러시아와 동유럽 등지에서 인기 높은 슈프라 스마트 클라우드 TV
임의로 콘텐츠 송출시키는데...슈프라 측과 연락할 방법 아직 찾지 못해

[보안뉴스 문가용 기자] 일부 스마트TV에서 취약점이 발견됐다. 같은 와이파이에 있는 공격자가 이 취약점을 익스플로잇 할 수 있으며, 성공할 경우 공격자가 제작한 콘텐츠를 송출할 수 있게 된다고 한다.


이 취약점은 CVE-2019-12477로, 보안 전문가 디라지 미슈라(Dhiraj Mishra)가 발견했다. 취약점이 발견된 제품은 슈프라 스마트 클라우드 TV(SUPRA Smart Cloud TV) 브랜드를 가지고 출시되는 것들로, 러시아와 동유럽, 중국, UAE 등에서 주로 거래된다고 한다.

문제가 발견된 곳은 openLiveURL()이라는 함수였다. 이 함수를 통해 스마트 TV가 스트리밍 콘텐츠를 가져온다. 하지만 세션 관리 기능이나 인증 기능이 포함되어 있지 않아 문제가 된다고 미슈라는 설명한다. “공격자가 특수하게 조작된 요청을 URL로 전송만 하면 공격이 성립합니다. 원격에서 파일을 주입하는 게 가능하다는 소리죠.”

처음 미슈라는 소스코드를 검토하다가 이 취약점을 찾아냈고, 애플리케이션 크롤링을 추가로 진행하면서 취약점을 발동시키는 데 성공했다고 한다. “결국 openLiveURL()이라는 함수를 통해 원격 파일 주입이 가능하다는 결론이 나왔고, 이를 통해 아무런 인증 절차를 거치지 않고 가짜 영상을 송출하는 게 가능하다는 걸 증명할 수 있었습니다.”

예를 들어 공격자가 텍스트와 긴급 경보 소리만으로 구성된 대피 방송을 만들어 슈프라 스마트TV에 송출할 경우, 커다란 패닉 사태가 발생할 수 있다. 혼란을 틈타 추가 공격을 하거나, 경쟁사의 생산 및 업무에 차질을 빚게 할 수 있다고 미슈라는 가상의 공격 시나리오를 제시하기도 했다.

하지만 실제 공격 가능성에는 의문 부호가 붙을 수밖에 없다. 공격자와 피해자가 같은 와이파이 네트워크에 있어야만 한다는 전제 조건 때문이다. “물론 실제 위협 표면이 낮다는 건 다행인 지점입니다. 하지만 최근 라우터에 대한 공격 성공률이 높아지고 있다는 걸 간과하면 안 됩니다. 라우터만 정복하면 공격자가 공격 표적이 되는 장비와 같은 네트워크에 있을 수 있거든요. 최근 TP링크(TP-Link)에서 만든 라우터 모델 두 개에서도 취약점이 발견된 바 있죠.”

현재까지 슈프라 스마트TV에서 발견된 취약점은 패치가 되지 않은 상태다. 미슈라는 취약점에 대한 내용을 회사에 알리려고 했으나 슈프라와 연락할 방법을 찾지 못했다고 한다. 여러 외신에 이 사실을 알리고 도움을 청했으나, 외신들도 슈프라와 연락하는 데 실패했다.

스마트TV를 통한 사이버 공격은 이미 실제로 발생한 적이 있다. 지난 1월 해커들이 취약한 크롬캐스트(Chromecast)와 구글 홈(Google Home) 장비들을 통해 TV 시청자들이 유명 유튜버인 퓨다이파이(PewDiePie)의 콘텐츠를 시청하도록 강제한 바 있다. 그 외에도 퓨다이파이의 구독자 수나 시청자 수를 늘리려는 해킹 팬보이들의 노력이 랜섬웨어나 프린터 해킹의 형태로 나타나기도 했었다.

2018년 소비자 보고서(Comsumer Reports)를 통해서도 삼성과 TLC에서 만든 스마트TV 제품들 중 일부가 취약한 것이 드러난 바 있다. 당시 언급된 버그는 공격자들이 스마트TV를 완전 통제할 수 있게 해주는 것이었다. “공격자가 익스플로잇에 성공할 경우 채널을 바꾸고, 소리를 높이거나 낮추며, 불법 콘텐츠를 송출하는 게 가능하다”고 당시 보고서는 고발하고 있었다.

소니의 브라비아(Bravia) 스마트TV에서도 지난 가을 취약점이 발견됐다. 원격에서 루트 권한을 가지고 코드를 실행할 수 있게 해주는 것이었다. 이를 통해 공격자들은 스마트TV를 봇넷에 편입시키는 게 가능해진다고 알려졌다.

“최근 사이버 범죄자들은 보다 높은 비율로 사물인터넷 장비들을 공격하기 시작했습니다. 최근까지는 라우터가 가장 인기가 높은 공격 대상이었는데, 스마트TV도 언젠가 유행할 수 있습니다. 사물인터넷은 항상 켜져 있고, 항상 연결되어 있으므로 공격자들이 활용하기에 매우 좋기 때문입니다.”

3줄 요약
1. 동유럽, 러시아, 중국, UAE에서 활발히 팔리는 슈프라 스마트TV에서 취약점 발견.
2. 스트리밍 콘텐츠를 확인, 인증하지 않는 취약점. 임의 콘텐츠 송출 가능.
3. 슈프라에 연락을 취하려 했으나 현재까지도 연락 방법 찾지 못함.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>