보안 연구원 마크 블라(Mark Blah)는 최근 패치된 안드로이드 운영체제의 보안 취약점에 대한 개념 증명(PoC) 도구를 출시했습니다. 이 취약점은 "SMS of Death"라는 별칭이 붙었으며, 식별 번호는 CVE-2026-58882입니다. 이 취약점을 통해 공격자는 특수하게 제작된 SMS를 전송함으로써 사용자의 상호작용 없이 원격으로 대상 휴대폰의 셀룰러 통신 서비스를 중단시키거나 시스템을 다운시킬 수 있습니다.
이 취약점은 사용자의 상호작용이 전혀 필요 없는 제로 클릭(Zero-click) 서비스 거부 공격으로 분류되며, 긴급 전화를 포함한 진행 중인 통화를 중단시킬 수 있습니다. 더욱 위험한 점은 안드로이드 시스템이 메시지가 수신함에 도달하기 전에 이를 처리하기 때문에, 사용자는 기기가 왜 작동하지 않는지 알 수 있는 시각적 지표를 전혀 확인할 수 없다는 것입니다.
WapPushOverSms 취약점은 어떻게 작동하는가?
기술 연구원은 이 취약점이 안드로이드의 WapPushOverSms 구성 요소 내 decodeWapPdu 함수에서 헤더 길이 값에 대한 적절한 검증이 이루어지지 않아 발생한다고 설명했습니다. 공격을 실행하려면 8바이트로 구성된 손상된 WAP Push 메시지를 포트(2948)로 SMS 데이터로 전송할 수 있습니다.
이 값이 경계 검사 없이 32비트 부호 있는 정수로 변환되면 -2147483648이 됩니다. 안드로이드가 이 음수 값을 사용하여 메모리를 할당하려고 시도하면 NegativeArraySizeException 예외가 발생하며, 이는 통신 관리 프로세스(com.android.phone)의 충돌로 이어집니다. 그 결과 셀룰러 통신이 끊기고 기기가 오작동하게 됩니다.
반복 위험 및 재부팅 루프
연구원의 테스트 결과, 20개의 악성 메시지를 보내면 휴대폰이 지속적인 재부팅 루프에 빠질 수 있음이 밝혀졌습니다. 한 안드로이드 12 기기에서는 휴대폰이 약 90초마다 복구 모드(Recovery Mode)로 재부팅되었으며, 기기를 복구하기 위해 공장 초기화가 필요했습니다.
구글은 예외를 포착하고 SMS 데이터베이스에서 악성 메시지를 삭제하는 방식으로 문제를 해결하는 보안 패치를 포함했지만, 안드로이드 12 및 13과 같은 구형 기기는 업데이트를 받지 못할 경우 여전히 취약한 상태로 남아 있습니다.
사용자에게 미치는 영향은 무엇인가?
개념 증명(PoC) 도구가 공개됨에 따라, 지원되는 안드로이드 사용자들은 잠재적인 공격으로부터 기기를 보호하고 시스템 오류를 방지하기 위해 최신 보안 업데이트가 제공되는 즉시 설치할 것을 권장합니다.