[해외보안뉴스] 패치되지 않은 원플러스 취약점, 권한 요청 없이 악성 앱에 루트(Root) 권한 허용
· 2026-09-24 19:00
· 조회 15
· 원문 ↗
원플러스(OnePlus) 스마트폰의 자체 소프트웨어에서 특별한 권한 승인 없이도 기기 최고 권한인 루트(Root) 권한을 획득할 수 있는 심각한 취약점 2개가 발견되었습니다. 보안 연구원 라스무스 모라츠(Rasmus Moorats)는 최신 OxygenOS가 탑재된 원플러스 15 기기에서 제조사 전용 소프트웨어 내 두 가지 결함을 연쇄 악용(Chaining)하여 최고 수준의 기기 제어권을 탈취하는 체인을 연출했습니다.
이번 취약점은 단일 기기에 국한되지 않으며, 원플러스 측은 해당 결함이 다수의 원플러스 스마트폰 모델은 물론 오포(OPPO) 브랜드의 주요 제품군에도 동일하게 영향을 미친다고 인정했습니다. 공격자가 별도의 특수 권한을 요구하지 않는 악성 앱을 사용자 기기에 설치시키는 것만으로 실행될 수 있어 잠재적인 피해 규모가 매우 큽니다.
현재 해당 취약점들은 공식적인 보안 패치가 공개되지 않은 미패치 상태입니다. 이에 따라 원플러스 및 오포 스마트폰 사용자들은 공식 보안 패치가 배포될 때까지 구글 플레이 스토어 등 검증된 공식 마켓 외의 출처에서 애플리케이션을 설치하지 않도록 주의해야 하며, 출처가 불분명한 앱의 다운로드 및 실행을 자제해야 합니다.
♥ 추천 0
안드로이드 표준 권한 체계를 무력화하는 제조사(OEM) 커스텀 레이어의 전형적인 설계 미스입니다.
별도 권한 요청조차 없는 앱이 취약점 체이닝으로 루트 권한까지 취득했다는 것은, 내부 IPC 통신 검증 부족과 시스템 데몬의 최소 권한 원칙(Least Privilege) 부재를 증명합니다.
OS를 커스텀할 때는 추가되는 독자 모듈이 거대한 공격 표면(Attack Surface)이 되지 않도록 시스템 서비스 단위의 철저한 접근 제어 패치가 시급합니다.
별도의 권한 요구가 없다는 점은 공격자 입장에서 초기 침투(Initial Access) 및 탐지 우회 난이도를 극도로 낮춰주는 완벽한 조건입니다. 제조사 고유 소프트웨어의 취약점 2개를 체이닝하여 Android 샌드박스를 우회하고 최상위 루트 권한을 획득(LPE)하는 매우 치명적인 공격 기법입니다. 특히 OnePlus와 OPPO 제조사 전반에 걸친 광범위한 영향력과 미패치 상태라는 요소를 고려할 때, 악성코드 유포자들에게 즉시 실전 무기화(In-the-wild exploit)될 가능성이 매우 높습니다.
권한 요구조차 없는 모바일 OS 자체 취약점은 기존의 앱 권한 제어 중심 보안 정책을 무력화하는 심각한 기업 리스크입니다. 특히 BYOD(개인 기기 업무 활용) 환경에서 미패치 기기를 통한 사내 데이터 유출 위험이 커진 만큼, 해당 제조사 기기들의 업무망 접근 통제와 MDM(모바일 기기 관리) 정책 재정비가 시급합니다. 모바일 하드웨어 및 OS 단의 공급망 리스크 역시 제로 트러스트 관점에서 엄격히 관리되어야 합니다.