스테이지프라이트(Stagefright)는 2.2버전에서부터 그 이후까지의 안드로이드 운영 체제에서 원격으로 조종되어 취약점 공격을 받을 수 있는 소프트웨어 버그이다.
[1][2][3]
이 버그는 공격자가 안드로이드 기기를 공격할 때, 공격자가 악성 코드를 희생자의 안드로이드 기기에 심어 원격 작업을 가능하게 한다. 유용성 증명이 함께 쓰여진 버그를 이용하여 안드로이드 필수 요소중 하나인 "스테이지 프라이트"라는 멀티미디어라이브러리를 공격하면, 악성코드가 심어진 MMS 메시지를 기기에 보내고 악성코드를 심을 수 있게 된다. 이 과정에서 최종 사용자 권한은 메시지를 받는데 전혀 필요하지 않아 사용자는 알 수 없으며, 이런 타겟팅에 필요한 정보는 오직 핸드폰 번호뿐이다. 밝혀진 보안 취약점들은 CVE-2015-1538, CVE-2015-1539, CVE-2015-3824, CVE-2015-3826, CVE-2015-3827, CVE-2015-3828, CVE-2015-3829 그리고 CVE-2015-3864 (후자는 나중에 배정되었음)이며, 이들을 통틀어 스테이지 프라이트라고 부른다.[4][5][6]
취약 지점 확인 방법
구글 플레이 스토어에서 짐페리움(Zimperium) 사의 스테이지프라이트 디텍터(Stagefright Detector) 앱을 설치하는 것으로 취약점을 확인할 수 있다.[7] 그러나 이 애플리케이션이 보안취약점을 해결해주는 것은 아니다.[8]
구글의 대응
구글은 2015년 8월 5일 첫 번째 보안 패치를 배포했으나[9] 스테이지프라이트 취약점 문제를 막는데 실패하고[10] 두 번째 보안 패치를 배포했다.[11]
.svg){kind=logo}