최근 몇 주 사이 보안 연구자들은 화상회의 앱 줌(Zoom)으로 인해 발생하는 여러 맥(Mac) 취약점을 연달아 공개했습니다. 줌 기술에 기반한 또 다른 두 앱인 링센트럴(RingCentral)과 주무(Zhumu) 역시 같은 영향을 받았습니다. 취약점이 알려진 이후 애플은 줌 관련 보안 허점을 메우는 패치 배포에 가장 앞장서고 있는데요.
이번 보안 업데이트는 별도의 알림 없이 자동으로 설치되는 '무음(silent) 업데이트' 방식으로 제공됩니다. 해당 버그가 악성 웹사이트를 통한 공격과 심각한 프라이버시 침해로부터 수백만 명의 줌 사용자를 위협했다는 점을 고려하면, 맥 사용자에게는 반가운 소식입니다.
줌 취약점의 원인은 무엇일까?
줌은 macOS용 화상회의·커뮤니케이션 앱입니다. 원칙적으로 화상회의를 시작하려면 컴퓨터에서 줌 클라이언트를 실행하기 전에 사용자의 허가를 받아야 합니다. 실제로 Safari 12가 줌 회의 참여 전 사용자 확인 절차를 의무화하면서, 사용자 동의 없이 줌이 자동 실행되는 것은 더욱 어려워졌습니다.
그런데 줌은 여기서 한 가지 편법을 동원합니다. 바로 로컬 호스트 웹 서버를 설치하는 것이었는데, 이 서버는 들어오는 줌 연결 요청에 따라 사용자 동의 없이 자동으로 활성화될 수 있었습니다. 개발 측은 이를 "열악한 사용자 경험 문제에 대한 합법적인 해결책"이라고 주장했지만, 문제는 이 로컬 웹 서버가 악성 웹사이트에 악용될 경우 강제로 줌 회의에 참입시키거나 맥의 웹캠을 몰래 켜는 것까지 가능했다는 점입니다.
심지어 줌 회의 참여 요청을 반복적으로 보내면 맥에 DoS(서비스 거부) 공격을 유발할 수도 있는 취약점이었습니다.
취약점이 공개되자 일부 사용자는 줌 앱을 삭제하는 것으로 대응했지만, 이는 큰 도움이 되지 못했습니다. 로컬 웹 서버가 남아 있는 상태에서 줌 연결 요청이 들어오면 앱이 언제든 재설치될 수 있기 때문입니다.
애플이 나서서 줌 취약점 수정
취약점이 공개된 후 애플은 줌의 로컬호스트 서버와 프라이버시 설정을 우회하던 허점을 제거하는 업데이트를 내놓았습니다. 줌 측도 패치 작업을 진행 중이며 로컬 서버를 제거하겠다고 밝혔습니다. 다만 이미 전 세계 수백만 대의 맥에 서버가 깔려 있는 상태였기 때문에, 사실상 애플이 직접 나서 신속하게 문제를 해결해야 하는 상황이었습니다. 줌은 전 세계 75만 개 이상의 기업과 수백만 명의 일반 사용자가 쓰는 서비스이기 때문입니다.
애플과 줌의 패치가 적용되면서 이제 줌을 설치해도 맥에 로컬 웹 서버가 더 이상 함께 설치되지 않습니다. 또한 사용자가 수동으로 켜기 전까지 카메라를 자동으로 비활성화하는 "항상 내 비디오 끄기" 설정을 저장하는 새로운 옵션도 추가되었습니다. 아울러 이번 줌 패치는 링센트럴과 주무에서 발생하던 취약점까지 함께 해결해 줍니다.
애플의 줌 보안 패치, 어떻게 받을까?
최신 보안 패치를 받으려면 안정적인 인터넷 연결만 있으면 됩니다. 애플이 줌 취약점을 해결하는 보안 업데이트를 자동으로 배포하기 때문에, 별도의 조작 없이도 맥에 저절로 설치됩니다.
업데이트가 원활하게 적용되도록 하려면 평소 컴퓨터를 깨끗하게 관리해 두는 것이 좋습니다. Outbyte macAries 같은 믿을 만한 맥 클리닝 툴을 활용하면 멀웨어 검사, 불필요한 파일 정리, RAM 최적화, 레지스트리 복구 등을 할 수 있어 업데이트 적용이 한결 수월해집니다. 덧붙여 이런 클리너는 줌이 자동 실행되도록 만드는 로컬호스트 서버 같은 불필요한 런처를 제거하거나 차단하는 데도 도움을 줍니다.
줌 로컬호스트 웹 서버 수동 비활성화 방법
업데이트를 기다리지 않고 로컬 서버를 직접 비활성화할 수도 있습니다. 터미널(Terminal)을 실행한 뒤 아래 명령어를 입력하세요.
pkill ZoomOpener;rm -rf ~/.zoomus;touch ~/.zoomus &&chmod 000 ~/.zoomus;
이어서 다음 명령어를 입력합니다.
pkill "RingCentralOpener";rm -rf ~/.ringcentralopener;touch ~/.ringcentralopener &&chmod 000 ~/.ringcentralopener;#
두 명령어 각각 입력 후 Enter 키를 누르면 됩니다. 이렇게 하면 맥에서 줌 관련 취약점을 스스로 차단할 수 있습니다.
마무리
정리하자면, 줌은 애플의 프라이버시 정책, 즉 화상통화 수신 전 사용자 동의를 받아야 한다는 규정을 우회하고자 별도의 보조 소프트웨어를 만들었고, 그 결과 DoS 공격과 프라이버시 침해라는 예상치 못한 부작용을 낳았던 것입니다.
다행히 애플과 줌이 신속하게 각각의 보안 업데이트를 배포하며 피해 확산을 막았습니다. 업데이트를 받으려면 안정적인 인터넷 연결만 있으면 되고, 원한다면 보조 소프트웨어(로컬호스트 서버)를 수동으로 제거하는 방법도 있습니다.
참고로 이번이 줌이 심각한 버그에 시달린 첫 번째 사례는 아닙니다. 몇 달 전에는 악의적인 공격자가 사용자의 화면을 장악하고 사용자 명의로 메시지를 보낼 수 있는 버그가 발견되기도 했지만, 다행히 이 역시 해결된 바 있습니다.
줌 관련 취약점을 해결하는 이번 맥 업데이트에 대해 어떻게 생각하시나요? 아래 댓글로 의견을 나눠주세요.