사용자 상호작용 없이도 악성 앱이 시스템 권한 탈취 → 제한적 표적 공격에 악용 중. 북한 라자루스 사용중 하...

Executive Summary

구글이 2026년 6월 안드로이드 보안 게시판을 통해 안드로이드 프레임워크(Android Framework)의 권한 상승(Elevation of Privilege, EoP) 제로데이 취약점인 CVE-2025-48595를 공개했다.

해당 취약점은 정수 오버플로우(Integer Overflow)로 인해 발생하며, 추가 권한이나 사용자 상호작용 없이도 공격자가 로컬 환경에서 권한을 상승시킬 수 있다. 구글은 해당 취약점이 실제 제한적 표적 공격(Targeted Attack)에 악용되고 있음을 공식 확인하였다.

미국 CISA는 본 취약점을 Known Exploited Vulnerabilities (KEV) 카탈로그에 추가했으며, 연방 민간 기관(FCEB)에 대해 2026년 6월 5일까지 패치 적용을 의무화하였다.

Incident Overview

항목	내용
Report ID	CTI-2026-0603-ANDROID-EOP
발행일	2026-06-03
심각도	HIGH
분류	TLP:GREEN
CVE	CVE-2025-48595
CVSS	8.4 (High)
위협 유형	Local Privilege Escalation Zero-Day
영향 버전	Android 14, 15, 16, 16-QPR2
분석 출처	Google Android Security Bulletin, CISA KEV, SOCRadar
국내 보도	확인되지 않음
신뢰도	High

1. 핵심 요약

안드로이드 프레임워크 내부 다수 위치에서 발생하는 정수 오버플로우 취약점(CWE-190)을 통해 공격자가 권한 상승을 수행할 수 있는 제로데이 취약점이 공개되었다.

본 취약점은 다음 특징을 가진다.

사용자 상호작용 불필요
추가 권한 불필요
로컬 환경에서 악용 가능
실제 표적 공격에서 악용 확인
Android Framework 계층 영향

권한 상승 취약점은 일반적으로 초기 침투 이후 공격자의 권한을 확장하여 데이터 탈취, 감시, 지속성 확보, 추가 악성 행위 수행을 가능하게 하는 핵심 공격 요소로 활용된다.

2. Vulnerability Details

취약점 개요

항목	내용
CVE	CVE-2025-48595
CWE	CWE-190
유형	Integer Overflow
영향 영역	Android Framework
공격 벡터	Local
공격 복잡도	Low
필요 권한	None
사용자 상호작용	None
CVSS	8.4

기술적 원인

취약점은 Android Framework 내부 여러 구성 요소에서 발생하는 정수 오버플로우(Integer Overflow) 문제에 기인한다.

정수 오버플로우는 계산 결과가 자료형의 최대 범위를 초과할 경우 예상치 못한 값으로 변환되는 현상이다.

공격자는 이를 악용하여:

메모리 손상
경계 우회
코드 실행
권한 상승

등을 유도할 수 있다.

기술적 영향

성공적으로 악용될 경우 공격자는 다음 권한을 획득할 수 있다.

애플리케이션 샌드박스 탈출
시스템 권한 확보
민감 데이터 접근
지속성 확보
추가 악성 코드 설치

Framework 계층에서 발생하는 취약점 특성상 악용 범위가 매우 넓다.

3. Impact Analysis

영향 받는 버전

Patch Level 2026-06-01 이전 버전 기준

Android 14
Android 15
Android 16
Android 16-QPR2

공격 시나리오

시나리오 1 — 악성 애플리케이션

공격자는 정상 앱으로 위장한 악성 애플리케이션을 배포한다.

사용자가 앱을 설치하면 추가 상호작용 없이 권한 상승이 수행될 수 있다.

시나리오 2 — 익스플로잇 체인

초기 코드 실행 취약점과 결합하여 사용된다.

일반적인 공격 흐름:

원격 코드 실행(RCE)
로컬 권한 상승(EoP)
시스템 권한 확보
데이터 탈취

시나리오 3 — 권한 있는 구성 요소 악용

사전 설치된 애플리케이션 또는 시스템 구성 요소를 악용하여 공격 성공 가능성을 높일 수 있다.

실제 악용 현황

구글은 본 취약점이 제한적이고 표적화된 환경에서 실제 악용되고 있음을 공식 확인했다.

현재까지 공개되지 않은 정보는 다음과 같다.

공격 주체
피해 조직
피해 국가
악용 규모

가능한 위협 행위자 유형:

국가 지원 공격 그룹(APT)
상업 스파이웨어 운영자
범죄 조직
정보 수집 목적 공격자

현재까지 특정 공격 그룹과의 연관성은 확인되지 않았다.

4. Mitigation

패치 적용 (최우선)

즉시 보안 업데이트 적용 권고

확인 경로

text 설정 → 휴대전화 정보 → Android 버전 → 보안 업데이트

권장 보안 패치 수준

text 2026-06-05 이상

조직 대상 권고

Android Fleet 관리

중앙 패치 적용 현황 점검
미패치 단말 식별
강제 업데이트 정책 적용

모바일 위협 탐지 강화

다음 행위에 대한 모니터링 강화

비정상 권한 상승
루트 권한 획득 시도
시스템 프로세스 변조
비인가 코드 실행

MDM 정책 강화

Play Store 외 설치 차단
USB 디버깅 제한
개발자 모드 사용 제한

개인 사용자 권고

앱 설치 제한

다음 원칙 준수

Play Store 이용
출처 불명 APK 설치 금지
사이드로딩 최소화

업데이트 유지

OEM 제조사 업데이트 일정 지속 모니터링

특히 다음 제조사 사용자는 주의 필요

Samsung
Google Pixel
Xiaomi
OPPO
Vivo
OnePlus

5. Strategic Assessment

본 취약점은 단순한 권한 상승 버그 이상의 의미를 가진다.

실제 악용이 확인된 제로데이이며, Android Framework 계층에 존재한다는 점에서 공격 가치가 매우 높다.

특히 다음과 같은 환경에서 위험도가 높다.

정부 기관
국방 분야
언론인
인권 활동가
금융기관 임직원
고위 공직자

권한 상승 취약점은 일반적으로 모바일 스파이웨어 체인의 핵심 구성 요소로 활용된다.

Pegasus, Predator, Graphite와 같은 상업 스파이웨어 역시 과거 다수의 Android EoP 취약점을 활용해 감염 후 시스템 권한을 확보한 바 있다.

현재 공개된 정보만으로는 공격 주체를 특정할 수 없으나, 제한적 표적 공격에 사용되고 있다는 점에서 고도화된 위협 행위자가 관여했을 가능성을 배제할 수 없다.

6. Additional Notes

2026년 6월 Android Security Bulletin에서는 총 124개의 취약점이 수정되었다.

이 중:

Critical: 18건
High: 다수
실제 악용 확인: CVE-2025-48595

특히 Android 생태계 특성상 OEM 및 통신사별 패치 적용 시점이 다를 수 있으므로 동일한 Android 버전이라도 실제 위험도는 기기별로 상이할 수 있다.

7. References

CIRCL Vulnerability Lookup
- CVE-2025-48595
SOCRadar
- June 2026 Android Security Update Fixes Framework Zero-Day
The Hacker News
- Google June 2026 Android Update Patches 124 Flaws, One Actively Exploited
CISA KEV Catalog
- Known Exploited Vulnerabilities

Analyst Assessment

Severity: HIGH

Confidence: High

Primary Risk:

Privilege Escalation
Device Compromise
Spyware Deployment
Persistent Access

Affected Sector:

Government
Defense
Finance
Healthcare
Enterprise Mobility

Recommended Priority: Immediate Patch Deployment