Mac용 가상화 소프트웨어 Parallels Desktop에서 일반 사용자 계정으로 Mac 최고 권한인 'root'를 획득할 수 있는 보안 취약점이 발견됐습니다. 이 공격은 이미 컴퓨터에서 실행 중인 코드를 통해 이루어지므로 원격 공격은 불가능하지만, 로컬에서 권한 상승(낮은 권한의 사용자가 더 높은 권한을 얻는 것)이 가능해 내부 위협이나 악성코드와 결합 시 위험합니다. 제조사인 JFrog는 Parallels Desktop 27 버전에서 수정했다고 밝혔으나, 인텔 Mac은 이 버전을 설치할 수 없어 수많은 사용자가 패치를 적용하지 못하는 상황입니다. 인텔 Mac 사용자는 취약점이 해결될 때까지 추가적인 완화 조치가 필요합니다.
JFrog 보안 연구팀이 Mac용 Parallels Desktop에서 권한 상승(LPE) 취약점을 발견했습니다. 일반 로컬 사용자 계정으로 Mac의 최고 권한인 root 권한을 획득할 수 있습니다.
공격자가 root 권한을 얻으면 시스템 전체를 통제할 수 있어 데이터 탈취, 악성코드 설치, 보안 솔루션 무력화 등이 가능합니다. 특히 인텔 Mac은 수정 버전(Parallels Desktop 27)을 설치할 수 없어 패치 자체가 불가능한 상태입니다.
Parallels Desktop 내부 구성 요소의 권한 검증 미흡으로, 일반 사용자 프로세스가 루트 수준의 작업을 수행할 수 있습니다. 네트워크를 통한 원격 공격은 불가능하며 로컬 코드 실행이 선행 조건입니다.
Parallels Desktop 27 버전에서 취약점이 수정되었습니다. 단, 해당 버전은 Apple Silicon(M 시리즈) Mac만 지원하여 인텔 Mac 사용자는 현재 공식 패치를 적용할 수 없습니다.
Parallels Desktop을 사용하는 인텔 Mac 사용자는 즉시 위험을 인지하고, 해당 장비에서의 불필요한 로컬 계정 접근을 최소화해야 합니다. Apple Silicon Mac 사용자는 Parallels Desktop 27로 즉시 업그레이드하십시오.
본문
Mac용 Parallels Desktop에 일반 로컬 계정으로 Mac 최고 권한인 root 권한 코드를 실행할 수 있는 결함이 존재한다고 소프트웨어 보안 기업 JFrog가 이번 주 밝혔습니다. 이 공격은 이미 일반 사용자로 실행 중인 코드가 해당 머신에 존재해야 하므로 네트워크를 통한 원격 공격은 불가능합니다. JFrog에 따르면 수정 사항은 Parallels Desktop 27에 포함되어 있으나, 이 버전은 인텔 Mac에 설치할 수 없습니다. 이 취약점을 발견한 Yuval Moravchick은…
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
