[논문 리뷰] Hey Google, What Exactly Do Your Security Patches Tell Us? A Large-Scale Empirical Study on Android Patched Vulnerabilities

Sadegh Farhang, Mehmet Bahadir Kirdan외 2명|arXiv (Cornell University)|2019. 05. 22.

Advanced Malware Detection Techniques참고 문헌 27인용 수 13

한 줄 요약

이 대규모 실험적 연구는 2015년에서 2019년 사이에 수정된 2,470개의 Android 취약성을 분석하며, Android 보안 블래터린, CVEDetails, 오픈소스 레포지터리의 데이터를 사용한다. 연구는 Linux 및 Qualcomm에서 유래한 취약성의 패치 처리에 심각한 지연이 있음을 드러내며, 공개 공개 일정이 일관되지 않으며, 업데이트가 중단된 오래된 Android 버전에 대해 많은 위험이 존재함을 보여준다. 이는 많은 취약성이 지원이 종료된 이전 OS 버전에서도 악용 가능하기 때문이다.

ABSTRACT

In this paper, we perform a comprehensive study of 2,470 patched Android vulnerabilities that we collect from different data sources such as Android security bulletins, CVEDetails, Qualcomm Code Aurora, AOSP Git repository, and Linux Patchwork. In our data analysis, we focus on determining the affected layers, OS versions, severity levels, and common weakness enumerations (CWE) associated with the patched vulnerabilities. Further, we assess the timeline of each vulnerability, including discovery and patch dates. We find that (i) even though the number of patched vulnerabilities changes considerably from month to month, the relative number of patched vulnerabilities for each severity level remains stable over time, (ii) there is a significant delay in patching vulnerabilities that originate from the Linux community or concern Qualcomm components, even though Linux and Qualcomm provide and release their own patches earlier, (iii) different AOSP versions receive security updates for different periods of time, (iv) for 94% of patched Android vulnerabilities, the date of disclosure in public datasets is not before the patch release date, (v) there exist some inconsistencies among public vulnerability data sources, e.g., some CVE IDs are listed in Android Security bulletins with detailed information, but in CVEDetails they are listed as unknown, (vi) many patched vulnerabilities for newer Android versions likely also affect older versions that do not receive security patches due to end-of-life.

연구 동기 및 목표

• 패치된 Android 취약성의 수명 주기와 OS 버전, 심각도 수준, 근본 원인에 따른 분포를 이해하기 위해.
• 취약성에 대한 공개 일정, 패치 배포 일정, 수정 커밋 일정의 적시성과 일관성을 평가하기 위해.
• 특히 오래된 Android 버전에 대해 지원이 종료된 정책이 소비자 보안에 어떤 영향을 미치는지 조사하기 위해.
• Linux 및 Qualcomm과 같은 외부 컴포넌트에서 유래한 취약성의 패치 지연을 평가하기 위해.
• 공개 취약성 데이터베이스 간의 일관성 문제와 그 보안 연구 및 정책에 대한 영향을 규명하기 위해.

제안 방법

• Android 보안 블래터린, CVEDetails, Qualcomm Code Aurora, AOSP Git, Linux Patchwork 등 다양한 출처에서 2,470개의 패치된 취약성을 수집하였다.
• 근본 원인을 분석하기 위해 취약성들을 일반 취약성 분류(CWE)에 매핑하였다.
• 코드 삭제 분석을 통해 수정 커밋에서 취약성을 처음 도입한 첫 번째 커밋을 추정하기 위해 SZZ 알고리즘을 적용하였다.
• 취약성 도입(첫 번째 코드 라인)일, 수정 커밋일, 패치 배포일, 공개 일정 간의 시간 흐름을 추적하였다.
• 최대 취약성 수명 주기를 첫 번째 코드 도입일과 보안 블래터린 발표일 사이의 시간 간격으로 계산하였다.
• 다양한 AOSP 버전 간의 보안 지원 기간을 비교 분석하였으며, 서로 다른 버전 간의 악용 가능성도 평가하였다.

실험 결과

연구 질문

• RQ1 패치된 Android 취약성의 심각도 수준과 근본 원인은 어떤 식으로 다양한 OS 버전과 시간대에 분포되어 있는가?
• RQ2 Linux 및 Qualcomm에서 제공하는 패치가 Android 보안 업데이트에 통합되기까지의 지연 기간은 얼마나 되는가?
• RQ3 다양한 취약성 데이터베이스에서 공개 일정이 패치 배포일 및 수정 커밋 일정과 얼마나 일관되는가?
• RQ4 지원이 종료된 Android 버전은 새 버전에 대해 발표된 패치를 얼마나 오랫동안 활용할 수 있는가?
• RQ5 공개 취약성 데이터베이스의 일관성 문제(예: CVE 불일치)는 보안 연구의 신뢰성에 어떤 영향을 미치는가?

주요 결과

• 최대 취약성 수명 주기의 평균은 약 1,350일로, 이는 취약성이 발견되지 않은 채로 오랫동안 존재할 수 있음을 시사한다.
• CWE 119: 메모리 버퍼의 경계를 제약하지 못함이 패치된 취약성의 가장 흔한 근본 원인이다.
• 외부 패치 배포와 Android 자체 패치 배포 사이에 상당한 지연이 존재하며, 평균적으로 Qualcomm은 307.8일, Linux는 324.9일로 나타났다.
• 94%의 취약성에서 공개 일정이 패치 배포일과 동일하거나 그 이후로 이루어져, 대부분의 경우 책임감 있는 공개 관행을 따르고 있음을 보여준다.
• 다양한 AOSP 버전은 보안 업데이트를 다른 기간 동안 제공하며, 버전 4.4는 버전 4.4.4가 지원 종료되기도 전에 22개월 전에 지원을 종료하였다.
• 최신 Android 버전에서 패치된 많은 취약성들은 더 이상 업데이트되지 않는 오래된, 지원이 종료된 버전에도 영향을 미칠 가능성이 높으며, 이는 많은 사용자가 노출된 상태로 남아 있음을 의미한다.