링크 클릭 한 번에 맥 강제 재부팅…애플, “보안 문제 아니다” 입장 뒤집어
작성일
“데스레이” 클릭 한 번에 맥 강제 재부팅되는 WebGPU 취약점
애플, 수정 예고 후 8월 26일 “보안 문제 아니다”로 입장 번복
맥(Mac) 사용자라면 낯선 링크 하나를 열었다가 화면이 그대로 멈춰버리는 경험을 할 수 있다. 개발자 오베론 로페즈(Auberon López)가 공개한 웹페이지 ‘데스레이(Deathray)’는 버튼 클릭 한 번만으로 맥 화면을 마비시키고 결국 시스템을 강제로 재부팅시키는 공격 기법이다. 별도의 프로그램 설치 없이 크롬·파이어폭스·사파리 등 주요 브라우저에서 모두 재현되며, 애플의 WebGPU 구현에 존재하는 결함을 이용한다. 로페즈는 워싱턴주 오번의 그린리버칼리지에서 강사로 일하는 틈틈이 이 취약점을 정리해 자신의 블로그에 공개했다. 애플 보안팀에도 이를 신고했지만, 애플은 한 차례 입장을 뒤집으며 아직 이렇다 할 조치를 내놓지 않고 있다.
클릭 한 번으로 맥이 멈추는 이유
데스레이는 하나의 HTML 파일에 담긴 WebGPU 셰이더(GPU에서 실행되는 연산 코드)로 작동한다. 컴퓨트 셰이더가 증가값 없는 반복문에 들어가면서 같은 벡터를 메모리에 끊임없이 복사하는 무한 루프에 빠지고, 화면을 그리는 버텍스 셰이더가 같은 메모리 영역을 읽으려다 계속 대기 상태에 놓인다.
이 병목은 브라우저 안에서 끝나지 않는다. GPU를 사용하려는 모든 프로세스가 줄줄이 대기열에 걸리는데, 화면을 그리는 macOS의 윈도서버(WindowServer)도 예외가 아니다. 그 결과 마우스 커서가 멈추거나 로딩 표시가 뜨고, 화면 일부에 마젠타색 잔상이 나타나는 등 증상이 제각각으로 나타난다.
다만 화면만 멈출 뿐 시스템 자체는 살아 있어서, 다른 컴퓨터에서 SSH로 접속하는 데는 문제가 없다고 로페즈는 설명했다. macOS는 윈도서버가 2분 이상 응답하지 않으면 감시 기능이 작동해 커널 패닉을 일으키고 맥을 스스로 재부팅시킨다. 로페즈는 애플 실리콘 맥북에서 macOS 26 타호(Tahoe)를 돌리며 크롬·파이어폭스·사파리 모두에서 이 현상을 재현했다고 밝혔다.
애플, 고치겠다더니 “문제없다”로 입장 바꿔
로페즈는 7월 27일(현지시각) 애플 보안팀에 이 문제를 신고했다. 애플은 처음에는 버그를 재현했고 수정을 예고하며 비공개 일정까지 제시했다. 그러나 8월 26일 애플은 “이 신고에서 보안적 함의를 찾지 못했다”며 입장을 바꿨고, 제품에 별다른 변경을 가하지 않을 것이라고 밝혔다. 사건은 개선 검토를 담당하는 다른 팀으로 넘겨졌다.
로페즈에 따르면 그가 상담한 보안 연구자들 다수는 애플 쪽 논리에 공감한다고 한다. 크래시나 화면 멈춤, 복구 가능한 데이터 손실 정도는 애플이 진짜 보안 문제로 보지 않는다는 것이다. 다만 로페즈는 저장하지 않은 파일이 있는 상태에서 이 링크를 클릭하면 실제로는 곤란한 상황에 놓인다고 지적했다.
왜 윈도우는 멈추지 않나, 2023년 사례와 다른 점
같은 코드를 윈도우 PC에서 열면 탭이 잠깐 심하게 느려지다가 페이지를 닫으면 정상으로 돌아온다. 윈도우에는 그래픽카드가 정해진 시간 안에 응답하지 않으면 이를 감지해 강제로 초기화하는 TDR(타임아웃 감지 및 복구) 기능이 있고, 기본값은 2초다. 반면 애플 실리콘에서는 자체 코프로세서인 ASC가 애플 펌웨어로 전력·명령 스케줄링·작업 선점까지 GPU 전반을 직접 관리한다. M1 칩을 리버스 엔지니어링해 리눅스 드라이버를 만든 아사히 리나(Asahi Lina)는 이 펌웨어가 멈추면 완전히 재부팅하는 것 외에는 빠져나올 방법이 없다고 짚었다.
앞서 2023년에도 임퍼바(Imperva)의 론 마사스가 ‘ShadyShader’라는 WebGL 셰이더로 맥·아이폰·아이패드를 멈추게 한 적이 있다. 애플은 당시 반복문이 폭주하는 상황을 더 잘 잡아내도록 입력값 검증을 강화해 CVE-2023-40441(CVSS 6.5점)로 이를 패치했다. 하지만 그때의 반복문은 크기가 컸을 뿐 유한했기에 탐지가 가능했던 반면, 데스레이의 반복문은 끝이 없어 이론적으로 탐지가 불가능한 ‘정지 문제’에 해당한다.
낮은 위험성, 그래도 남는 신뢰 문제
데스레이는 데이터를 훔치거나 시스템 제어권을 넘겨받지 않는다. 화면을 마비시키고 재부팅시키는 것이 전부라 일반적인 맬웨어처럼 봇넷이나 정보 탈취에 쓰기는 어렵다. 그런 이유로 오랫동안 알려지지 않았고, 실제 공격에 악용될 가능성도 낮다는 평가가 많다.
그럼에도 로페즈는 단순히 링크 하나를 여는 것만으로 맥을 못 쓰게 만들 수 있다는 사실 자체가 브라우저에 대한 신뢰를 흔든다고 지적했다. 그는 GPU에 걸려 멈춘 프로세스를 강제로 중단시키는 장치를 강화해야 한다고 제안했다. 현재로서는 설치할 패치도, 애플 쪽에서 기대할 조치도 없는 상태다. 누구든 이 방법을 알면 이메일로 링크 하나만 보내 상대방의 맥을 얼리고 재부팅시킬 수 있다는 뜻이다.