삼성 안드로이드 기기 sec_log 커널 정보 유출 및 권한 상승 취약점 분석 (CVE-2021-25369)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTSMR(Samsung Maintenance Release) 2021년 3월 릴리즈 1 미만 버전의 삼성 안드로이드 기기
로컬 공격자가 sec_log 파일에 비정상적으로 접근하여 민감한 커널 메모리 주소 및 정보를 획득하고, 이를 통해 KASLR 등 커널 보호 기법을 우회할 수 있습니다
삼성 SMR 2021년 3월 릴리즈 1 이상으로 펌웨어를 업데이트하고, 임시 조치로 디버그 로그 파일에 대한 접근 권한을 제한하십시오
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
가장 확실한 해결책은 삼성 공식 무선 업데이트(OTA)를 통해 시스템을 최신 상태로 업데이트하는 것입니다. 엔터프라이즈 환경에서는 MDM(Mobile Device Management) 솔루션을 통해 강제 업데이트를 수행하십시오.
# ADB(Android Debug Bridge)를 통한 기기 빌드 번호 및 보안 패치 수준 확인
adb shell getprop ro.build.version.security_patch
# 출력된 패치 날짜가 2021-03-01 이상인지 확인하십시오.2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
패치 적용이 불가능한 레거시 단말기 또는 개발용 단말기의 경우, ADB 쉘을 통해 sec_log 장치 노드의 권한을 임시로 제한하여 일반 사용자 및 악성 앱의 접근을 차단할 수 있습니다 (루트 권한 필요).
# sec_log 장치 파일의 권한을 소유자(root) 전용으로 변경하여 일반 사용자 접근 차단
adb shell 'su -c "chmod 600 /dev/sec_log"'
# 변경된 권한 상태 확인 (rw------- 인지 검증)
adb shell 'su -c "ls -l /dev/sec_log"'3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
기기 내에서 비인가된 프로세스가 sec_log 파일에 접근을 시도했는지 여부를 감사하기 위해 아래의 쉘 스크립트를 활용하여 점검할 수 있습니다.
# 비인가 앱의 sec_log 접근 시도 흔적 및 권한 오류 로그 필터링
adb logcat -d | grep -E 'sec_log|Permission denied'패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요
Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2021-25369)은 삼성 안드로이드 기기의 시스템 로깅 컴포넌트인 sec_log 드라이버 파일에서 발생하는 부적절한 접근 제어(Improper Access Control, CWE-200) 취약점입니다. 커널 영역의 디버그 정보 및 시스템 로그를 기록하는 sec_log 노드에 대해 일반 사용자 권한(Userspace)을 가진 프로세스가 직접 읽기 권한을 획득할 수 있도록 권한 설정이 미흡하게 설계되어 발생하였습니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
로컬 공격자 또는 기기에 설치된 악성 애플리케이션은 특별한 권한 없이도 /dev/sec_log 또는 관련 가상 파일 시스템 노드에 접근하여 데이터를 읽어 들일 수 있습니다. 이 로그 파일에는 커널 함수 포인터, 스택 주소, 물리 메모리 맵 등 민감한 커널 내부 정보가 평문으로 노출되어 있습니다. 공격자는 이 정보를 수집하여 KASLR(Kernel Address Space Layout Randomization) 보호 기법을 무력화하고, 다른 커널 취약점(예: Use-After-Free, Buffer Overflow)과 연계하여 로컬 권한 상승(LPE)을 성공시키는 징검다리로 악용합니다.
3. 비즈니스 및 인프라 파급 영향
본 취약점은 미 정부 CISA의 KEV(Known Exploited Vulnerabilities) 카탈로그에 등재될 만큼 실제 야생(In-the-Wild)에서 활발히 악용된 고위험군 취약점입니다. 기업 환경 내에서 임직원이 사용하는 모바일 단말기가 이 취약점에 노출될 경우, 악성 앱을 통해 기기의 루트(Root) 권한이 탈취되어 기업 내부망 침투, 기기 내 기밀 문서 유출, 모바일 OTP 및 인증 토큰 탈취 등의 심각한 2차 피해로 이어질 수 있습니다.
공식 보안 권고문 및 참조 링크
An improper access control vulnerability in sec_log file prior to SMR MAR-2021 Release 1 exposes sensitive kernel information to userspace.
자주 묻는 실무 질문 (FAQ — CVE-2021-25369)
FAQQ1. CVE-2021-25369 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2021-25369의 기본 점수는 CVSS 5.5 (MEDIUM)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 1.1%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2021-25369에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 samsung이며, 대상 컴포넌트는 android, sec_log입니다. 상세 영향 범위: SMR(Samsung Maintenance Release) 2021년 3월 릴리즈 1(SMR MAR-2021 Release 1) 미만 버전이 적용된 모든 삼성 안드로이드 스마트폰 및 태블릿 기기
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] 삼성 SMR 2021년 3월 릴리즈 1 이상으로 펌웨어를 업데이트하고, 임시 조치로 디버그 로그 파일에 대한 접근 권한을 제한하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2021-25369 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (samsung)
동일 카테고리 전체 보기 →안드로이드(Android) 정수 오버플로우 기반 로컬 권한 상승 및 원격 코드 실행 취약점 (CVE-2025-48595)
[영향 대상] 안드로이드 운영체제(Android OS) 다중 구성 요소
퀄컴 칩셋 메모리 정렬 오류로 인한 권한 상승 및 메모리 손상 취약점 (CVE-2026-21385) 보안 권고
[영향 대상] 퀄컴(Qualcomm) 칩셋을 탑재하고 특정 안드로이드 커널 버전을 사용하는 모바일 및 임베디드 기기
Apple macOS 화면 공유(Screen Sharing) 인증 우회 취약점 (CVE-2026-65400)
[영향 대상] macOS Sequoia 15.7.9 미만, Sonoma 14.8.9 미만, Tahoe 26.6.1/26.7 미만, Golden Gate 27 미만 버전에서 화면 공유(Screen Sharing) 또는 VNC 서비스를 활성화하여 사용 중인 시스템
DAEMON Tools Lite 공식 설치 패키지 공급망 공격 및 백도어 삽입 취약점 (CVE-2026-8398)
[영향 대상] 2026년 4월 8일부터 5월 5일 사이에 공식 웹사이트에서 다운로드된 DAEMON Tools Lite Windows 버전 12.5.0.2421 ~ 12.5.0.2434
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.