이미지 업로드가 코드 실행 통로로…HEIF Heist 연구 공개, libheif 패치 권고

보안 연구팀 Hacktron이 HEIF·HEIC·AVIF 이미지 처리 과정에서 원격 코드 실행이나 정보 노출로 이어질 수 있는 공격 경로를 ‘HEIF Heist’라는 이름으로 공개했다. 연구자 원문 분석에 따르면 문제는 웹 애플리케이션 자체보다 그 아래에서 이미지를 해석하는 libheif·libde265 등 네이티브 라이브러리에 있다.

이들 라이브러리는 ImageMagick, libvips, Sharp 같은 상위 도구나 운영체제 패키지, 컨테이너 이미지에 포함돼 서비스에 들어갈 수 있다. 이미지 업로드 기능만 제공하는 애플리케이션도 실제 디코딩에 어떤 라이브러리와 버전을 사용하는지에 따라 영향을 받을 수 있다는 뜻이다.

libheif 저장소에 공개된 Meta 제품보안팀의 공식 권고에는 1.23.1에서 변조된 HEIC 파일을 처리할 때 악성 코드가 실행되는 개념증명을 확인했다는 내용이 담겼다. 이 팀은 조사 과정에서 별개의 취약점 11개를 발견했다고 밝혔다. 이미지의 논리적 크기와 실제 픽셀 데이터 영역이 일치한다는 가정을 검증하지 않은 문제가 공통 원인으로 지목됐다.

별도 권고는 중첩된 이미지 참조와 중복 알파 채널을 처리하면서 힙 버퍼의 범위를 벗어나 쓰기가 발생하는 결함을 설명한다. libheif 공식 릴리스 노트는 이 문제와 픽셀 영역 처리 결함을 치명적 등급으로 분류하고, 작동하는 코드 실행 공격이 확인됐다고 명시했다.

개발진은 이들 문제를 수정한 libheif 1.23.2를 보안·버그 수정 버전으로 배포했다. 1.23.1과 API·ABI 호환성을 유지하는 교체 버전이며, 모든 사용자에게 업그레이드를 강하게 권고하고 있다. 서비스 운영자는 애플리케이션의 직접 의존성뿐 아니라 배포판 패키지와 컨테이너에 포함된 디코더의 패치 적용 여부도 살펴야 한다.

Hacktron은 HEIF Heist가 단일 버전에 한정된 하나의 취약점 이름은 아니라고 설명했다. libheif와 libde265의 최신 보안 패치를 적용하고, 필요하지 않은 비신뢰 이미지 디코딩은 끄거나 이미지 처리 과정을 격리된 환경에서 실행하도록 권고했다. 연구진이 공개한 공격 가능성과 개념증명은 실제 이용자 데이터가 침해됐다는 확인과는 구분해야 한다.

출처: Hacktron HEIF Heist 연구 원문 https://heif-heist.com/
libheif 공식 보안 권고 https://github.com/strukturag/libheif/security/advisories/GHSA-2jg2-4ch7-h545
libheif 공식 보안 권고 https://github.com/strukturag/libheif/security/advisories/GHSA-g89c-p67h-r497
libheif 1.23.2 공식 릴리스 노트 https://github.com/strukturag/libheif/releases/tag/v1.23.2