업계 전반에 걸쳐 사용되는 이미지 파싱 라이브러리에 결함이 확인됐다. 해당 결함으로 조작된 이미지 한 장만으로 안드로이드 기기에서 원격 코드 실행이 가능하다.
삼성이 자사 안드로이드 기기의 핵심 유틸리티에서 심각한 취약점을 공개했다. 이 취약점은 이미 제로데이 공격에서 악용된 바 있다고 밝혔다.
문제의 취약점은 한국의 이미지·영상 처리 전문 기업 쿼람소프트(Quramsoft)가 공급하는 폐쇄형 이미지 파싱 라이브러리인 libimagecodec.quram.so에 존재하며, 특수 제작된 이미지 파일을 통해 원격 공격자가 임의의 코드를 실행할 수 있다.
모바일 보안업체 짐페리움(Zimperium)의 시니어 세일즈 엔지니어 브라이언 손턴은 “인기 앱과 제조사용 라이브러리를 겨냥한 제로데이 공격은 공격자가 얼마나 빠르게 모바일을 침투 경로로 삼고 있는지를 보여준다”라며 “보안팀은 직원들이 삼성 기기를 즉시 업데이트하도록 하고 모바일 방어 계획을 강화해야 한다”라고 언급했다.
삼성은 해당 버그가 녹스(KNOX)로 보호되는 기업 환경에 어떤 영향을 미칠지 구체적으로 밝히지 않았다. 다만 원격 코드 실행(RCE) 취약점은 일반적으로 사용자 보호장치를 우회하고 기기관리 통제를 저해하거나 개인용과 업무용이 혼재된 환경에서 광범위한 침해의 발판을 마련할 수 있어 위험을 전제로 대비해야 한다.
안드로이드 13부터 16까지 모든 기기가 영향을 받는 이번 취약점은 이미 수정된 상태이나, 많은 기업용 디바이스가 여전히 취약할 가능성이 있다. 해당 라이브러리는 갤러리, 카메라와 같은 시스템 앱은 물론 메시징 앱 및 삼성의 이미지 API를 사용하는 서드파티 앱 등 이미지 처리가 이뤄지는 모든 곳에서 폭넓게 사용된다.
픽셀 뒤에 숨은 취약점
CVE-2025-21043으로 추적되는 이번 결함은 삼성 전용 이미지 파싱 라이브러리인 libimagecodec.quram.so에서 발생하는 경계 밖 쓰기(out-of-bounds write) 문제다. 공격자는 특수 제작된 이미지 파일을 통해 이 버그를 유발해 원격 코드 실행(RCE)을 일으킬 수 있다.
삼성은 해당 심각한 버그(CVSS 8.8/10)가 메타의 왓츠앱 측이 8월에 비공개로 보고했을 때 이미 악용되고 있던 것을 확인했다고 밝혔다. 공격 구체 사항은 공개되지 않았으나, 메시지 수신 시 이미지를 자동 처리하는 메시징 앱이 명백한 공격 경로일 가능성이 크다. 보안 전문가들은 이 익스플로잇이 피해자의 별다른 조치 없이도 조용히 실행될 수 있어 전형적인 ‘제로 클릭’ 위협이라고 지적한다.
미국 보안 기업 시퀀스 시큐리티(Cequence Security)의 최고정보보안책임자 랜돌프 바르는 “이번 사건은 강력한 모바일 기기 거버넌스의 중요성을 재확인시킨다”라며 “보안팀은 개인 대 기업 통제 논쟁을 넘어서 관리되지 않는 기기가 조직적 위험이라는 현실에 집중해야 한다”라고 전했다.
바르는 또한 보안 책임자가 사고 발생 후 가장 먼저 질책을 받는 위치에 있는 만큼, 조직 내에서 모바일 기기관리(MDM)의 필요성을 널리 알리고 그 이유를 명확한 근거로 제시해 오해를 바로잡아야 한다고 덧붙였다.
지금 패치하지 않으면 백도어 위험
삼성은 2025년 9월 배포된 릴리즈 1 보안 패치를 통해 안드로이드 13~16 버전을 실행하는 기기에 영향을 주는 취약점을 해결했다고 밝혔다. 삼성은 공지에서 “SMR Sep-2025 릴리즈 1 이전 버전의 libimagecodec.quram.so에서 발생하는 경계 밖 쓰기(out-of-bounds write) 문제로 인해 원격 공격자가 임의의 코드를 실행할 수 있다”라고 설명했다.
기업 관점에서 CVE-2025-21043은 단순한 개인 기기 문제를 넘어 기업 네트워크로 연결되는 잠재적 백도어가 될 수 있다. 실제로 악용되면 공격자가 업무용 애플리케이션, 이메일 계정, 기기에 저장된 기업 데이터를 탈취할 가능성이 있다.
BYOD(Bring Your Own Device) 또는 혼합 관리 환경에서는 패치가 적용되지 않은 기기가 의도치 않게 핵심 시스템으로 가는 ‘다리’ 역할을 할 수 있다. 바르는 BYOD 환경에서 사용자가 MDM 통제를 거부하거나 업데이트를 미루는 경우가 있어 패치 준수 여부 추적이 어렵다고 지적하며, “MDM 외에도 엔트라 ID(Entra ID) 같은 SSO 도구를 통해 기기별 로그인 내역을 확인하고 사용자에게 직접 업데이트를 확인할 수 있다”라고 설명했다. 또한 안드로이드 장치에서는 업데이트가 자동으로 이뤄지는 경우가 많지만, 업데이트 적용 여부는 반드시 검증해야 한다고 덧붙였다.
dl-ciokorea@foundryco.com
