폰투오운 아일랜드 2025 2일차 — 56개 제로데이로 79만2,750달러 상금 확보

 

폰투오운 아일랜드 2025 2일차 — 56개 제로데이로 79만2,750달러 상금 확보

세계 최대 규모의 해킹 경연대회 폰투오운 아일랜드(Pwn2Own Ireland 2025)가 열리고 있는 가운데, 대회 2일차에서 참가 연구자들이 총 56개의 제로데이 취약점을 성공적으로 시연해 79만2,750달러의 상금을 획득했다. 대회는 10월 21일~24일 아일랜드 코크(Cork)에서 진행되며 메타, 시놀로지, QNAP 등이 공동 후원한다.

■ 삼성 갤럭시 S25 — 5단계 취약점 체인 공격 성공

가장 주목받은 성공 사례는 모바일해킹랩의 켄 개넌과 서머닝팀의 디미트리오스 발사마라스가 삼성 갤럭시 S25를 대상으로 5단계(5-chain) 취약점 연계 공격을 수행해 해킹에 성공한 장면이었다. 이 공격으로 두 연구자는 총 5만 달러와 대회 포인트(마스터 오브 폰 포인트 5점)를 획득했다.

■ NAS·스마트홈·프린터 등 다수 제품서 제로데이 성공

NAS(네트워크 연결 스토리지)와 스마트홈 장비, 프린터 등에서도 여러 성공 사례가 나왔다.

• 사이크래프트 테크놀로지의 추미 차이: QNAP TS-453E에서 코드 인젝션 취약점 악용 — 2만 달러 수상.
• 베리체인스의 르 쫑 푹·카오 응옥 꾸이: 시놀로지 DS925+ 인증 우회로 루트 권한 획득 — 2만 달러 수상.
• 시냑티브의 메디·마튜: 필립스 휴 브리지 버퍼 오버플로우 공격 — 2만 달러 수상.
• 그 외에도 시놀로지 CC400W 카메라, 아마존 스마트플러그, 캐논・렉스마크 프린터 등에서 제로데이 공격이 성공했다.

■ 버그 충돌 규정과 상금 조정

폰투오운의 규정상 동일 취약점이 중복 보고되면 버그 충돌(bug collision)로 처리되어 상금이 감액된다. 예컨대 PHP 훌리건즈팀은 QNAP NAS를 1초만에 해킹했지만, 이미 동일 취약점이 보고되어 상금이 절반으로 줄어 1만 달러만 수령했다. 이 규정은 독창적인 취약점 발굴을 장려하기 위해 마련됐다.

■ 2일차 집계와 리더보드

2일차 종료 시점 누적 결과, 참가자들은 총 56개의 고유 제로데이를 보고해 79만2,750달러를 받았다. 서머닝팀은 1·2일차 누적 상금 16만7,500달러와 총 18포인트로 마스터 오브 폰 리더보드 선두를 유지하고 있다. 1일차에는 34개의 제로데이가 발견되어 총 52만2,500달러가 지급됐다.

■ 대회 마지막 날 전망과 고액 상금 도전

마지막 날에는 삼성 갤럭시 S25를 포함한 여러 NAS 장비, 프린터 등이 목표로 예정되어 있다. 특히 팀 Z3의 유진은 왓츠앱(WhatsApp) 제로 클릭 원격 코드 실행(RCE) 공격에 도전할 예정이며, 성공 시 100만 달러의 최고 상금이 지급된다.

■ 새로운 공격 벡터 — USB 물리 연결 해킹

올해 폰투오운은 공격 벡터를 확장하여 USB 포트를 통한 물리적 연결 상태에서 잠금 해제되지 않은 스마트폰을 해킹하는 과제를 추가했다. 기존의 와이파이·블루투스·NFC 공격도 여전히 활용되며, 참가자들은 무선·물리 접속을 복합적으로 활용해 다층 공격을 시도하고 있다.

■ 시사점 — 제조사 패치 대응과 보안 테스트 강화 필요

보안 업계 전문가들은 이번 대회가 일상 기기의 보안 취약점 현실을 재확인시켰다고 평가한다. 스마트폰·NAS·스마트홈 기기 등에서 다수의 제로데이가 연이어 발견되며 제조사들에게 신속한 패치 배포와 강도 높은 보안 테스트가 요구되고 있다.

대회 주최사 제로데이 이니셔티브(ZDI)는 모든 제조사에 대해 90일 이내 보안 패치 배포를 촉구했으며, 기간 내 미조치 취약점은 공개할 예정이라고 밝혔다.

반응형