마이크로소프트 오피스(Microsoft Office)는 워드 프로세서, 스프레드시트, 프레젠테이션 소프트웨어를 하나로 묶은 세계에서 가장 널리 사용되는 오피스 스위트입니다. 사용자들이 수기 문서 작성에서 디지털 문서 작업으로 전환하는 데 크게 기여한 초기 대중화 애플리케이션이기도 합니다. 그러나 사이버보안 전문기업 체크포인트 리서치(Check Point Research, CPR)가 최근 수년간 잠복해 있던 것으로 추정되는 버그를 발견하면서 이번에는 보안 이슈가 대두되었습니다.
CPR은 이 결함을 즉시 마이크로소프트에 통보했고, 마이크로소프트는 빠르게 취약점을 패치하는 업데이트를 배포했습니다. 해당 업데이트는 모든 마이크로소프트 사용자에게 즉시 제공되었으며, MS 워드, MS 엑셀, MS 파워포인트, MS 아웃룩을 안전하게 사용할 수 있도록 조치했습니다. CPR 보고서에서 '실수'라고 표현한 이 결함은 Excel95 파일 형식의 레거시(구형) 코드 내부에 존재하던 위험 요소였습니다. Excel95는 오래된 파일 형식인 만큼 보안 취약점도 상당 기간 방치되어 있었던 것입니다. 파일 구문 분석 과정의 오류가 원인으로 지목되며, 이 오류가 악의적인 의도를 가진 해커가 MS Office가 설치된 시스템에 침투할 통로가 될 수 있었습니다.
CPR 보고서에 따르면, 현재 업데이트로 수정된 이 취약점은 MS Office 앱과 각종 파일을 통해 코드를 실행하도록 악용될 수 있었습니다. 영향을 받는 파일로는 아웃룩(.EML), 워드(.DOCX), 엑셀(.XLS) 등이 있습니다. 체크포인트 소프트웨어의 사이버 리서치 총괄 야니브 발마스(Yaniv Balmas)는 이번 취약점이 신규 버전과 구버전을 포함한 MS Office 생태계 전반에 영향을 미쳤다고 확인했습니다. 또한 레거시 코드가 마이크로소프트 오피스 보안 체계에서 약한 고리 역할을 해왔다고 설명했습니다.
이번 결함은 CPR이 MS 그래프(Microsoft Graph)를 테스트하는 과정에서 우연히 발견되었습니다. MS 그래프는 사용자가 도형과 차트를 디자인할 수 있게 해주는 MS Office 모듈입니다. CPR이 MS 그래프에 적용한 테스트 방식은 '퍼징(Fuzzing)'이라 불리는 자동화 소프트웨어 테스트 기법입니다. 퍼징의 원리는 간단합니다. 테스터가 일부러 잘못된 데이터를 입력하고 애플리케이션이 어떻게 반응하는지 관찰하여 코딩 오류와 보안 결함을 기록하는 것입니다.
취약점은 Excel 95 파일 형식에서 발견되었습니다. 이 형식은 현재 거의 사용되지 않는 구형 포맷이지만, MS Office의 모든 애플리케이션이 여전히 이 형식을 지원하기 때문에 나머지 앱들 역시 해커 공격에 노출될 위험이 있었습니다. CPR은 현재까지 네 개의 결함을 발견해 마이크로소프트에 보고했으며, MS Office 내부의 추가 취약점을 찾기 위한 조사를 계속 진행할 예정입니다.
마이크로소프트는 CPR이 제기한 보고에 신속하게 대응해 CVE-2021-31174, CVE-2021-31178, CVE-2021-31179, CVE-2021-31939 등의 업데이트 패치를 배포했습니다. PC를 최신 상태로 유지하고 싶다면 다음 단계를 따라 업데이트를 진행하세요.
윈도우 업데이트 방법
1단계: Windows + I 키를 눌러 설정 창을 엽니다.
2단계: 'Windows 업데이트' 메뉴를 클릭합니다.
3단계: '업데이트 확인'을 클릭하면, 해당 지역에 업데이트가 배포된 경우 자동으로 설치됩니다.