[보안뉴스] 메타마스크 취약점, 브라우저에서 비밀번호 버튼 클릭하는 순간 해킹

 

[이미지 = chrome 웹 스토어]

 

---

 

3줄 요약

1. 디지털 자산 관리 기업 해시어스가 디지털 자산 지갑 '메타마스크' 10.11.3 이전 PC 버전 취약점 공개

2. 브라우저 자체 메커니즘을 통해 지갑을 복구하기 위한 문구 (니모닉) 유출 가능

3. 1,000만 명 이상의 사용자가 사용할 만큼 대중적이어서 이번 취약점을 심각하게 보고 있음

원문 : https://www.boannews.com/media/view.asp?idx=108228

 

---

 

(소감)

 

1. 올해 초 Log4J를 생각해 보면, 심각한 취약점이 아니더라도 사용자가 많을수록 파급력이 큰 것 같음

2. 어떤 사고나 문제든 모의 해킹을 통해 심각성을 보여주는 것이 제일 효과적인 방법이라 생각

 

3. 대중적인 플랫폼에서 사고가 터졌으니 안전성을 고려하여 타 플랫폼으로 옮겨갈 사용자들이 많을 것 같음

 

4. 사용자가 많은 만큼 해당 CVE를 발굴하면서 받게 된 크레딧의 규모가 클 것으로 예상

 

 

(의문점)

 

Q1. 디버깅, 리버스 엔지니어링 등 해당 문제를 발견하게 된 과정

 
Q2. 메타마스크를 사용하며 로컬PC 저장소와 통신하는 프로세스

 
Q3. 메커니즘 변경, 구문 난독화, 노출 정보 차단 등 해당 취약점을 패치한 방법

 
Q4. 업데이트를 하지 않은 인원들에 대한 관리 방안 (업데이트 강제, 보안 패치 권고 등)