0xNews - 안드로이드의 페이스북 메신저 앱 버그 발견

구글 프로젝트 제로 Google's Project Zero bug-hunting team 공개

2020년 10월 6일 해당 버그 최초 발견

90일 정보 공개 제한 기간이 지난 현재 정보 공개

해당 버그는 페이스북에 보고 후 안드로이드용 페이스북 메신저 v.284.0.0.16.119 외 이전 버전 포함 영향을 받음

이번 버그는 앱에 로그인한 공격자가 동시에 통화를 시작 후 웹 브라우저와 같은 다른 메신저 클라이언트와 앱에 로그인한 대상에게 특수 제작된 메시지를 발송하는 것이 허용된 것을 확인

페이스북 보안 담당자는

이런 행동으로 기기가 발신음이 울리는 동안 발신자가 전화를 받는 사람이 응답하거나 통화 시간이 초과될 때까지 오디오 수신을 시작하는 시나리오를 준비하고 대기

구글 프로젝트팀은 이번 버그는 WebRTC 의 SDP Session Description Protocol 에 있음을 확인

이 프로토콜은 두 엔드 포인트간 스트리밍 미디어 교환을 위한 표준화된 형식을 정의

공격자는 여기에 특수 제작된 메시지를 전달 가능

SDPUpdate 를 사용하여 전화를 받기 전 수신자의 기기에 연결

WebRTC 를 통한 음성과 영상 통화는 일반적으로 수신자가 통화 수락 버튼을 클릭하기 전까지 오디오 전송을 하지 않음

하지만 벨이 울리는 동안 SDPUpdate 를 통해 메시지가 다른 단말 기기로 전송되면 즉시 오디오 전송을 시작

공격자는 수신자 주변 모니터링 가능

이 버그 공격을 성공하기 위해 공격자인 발신자는 특정 사람에게 전화를 걸 수 있는 권한을 이미 확보해야 함

즉 발신자와 수신자가 해당 기능을 사용하고 있는 페이스북 친구여야 가능

또한 공격이 성공하기 위해서 공격자는 Frida 와 같은 리버스 엔지니어링 도구를 사용

자체 메신저 애플리케이션을 조작하여 사용자 지정 SDPUpdate 메시지를 보내도록 강제해야 함

이번 버그 보고를 통해 버그 바운티 USD 60,00 획득

이는 페이스북에서 현재까지 가장 높은 3가지 버그 바운티 중 하나

구글 프로젝트 제로팀은 해당 비용을 비영리 단체 기부하기로 결정

구글 프로젝트 제로팀은 이번 버그 외 다른 메시지 애플리케이션 대상 테스트 수행

WhapApp, iMessage WeChat 등에서도 관련 사용자 사용과 관련 없이 수신자가 기기의 오디오를 전달하는 버그 발견

PoC 는 구글 프로젝트 제로 사이트 하단에 각각 링크 제공

openLab