윈도에서 촬영 편집한 스크린샷에 편집 전 상태로 이미지를 복원할 수 있게 되어 버리는 취약성이 보고되며 마이크로소프트가 이 버그를 수정하기 위한 업데이트를 제공한다.
촬영 편집 도구인 스니핑 툴(Snipping Tool)로 편집한 이미지를 편집 전 상태로 복원할 수 있다는 취약점이 보고된 것. 또 비슷한 취약점은 윈도10에 탑재된 도구에도 존재한다고 지적됐다.
이 취약점은 CVE-2023-28303으로 명명됐으며 원본 파일을 덮어 쓰도록 이미지 편집할 때 원본 파일이 삭제되지 않은 상태로 남아 있기 때문에 발생하는 것이다. 예를 들어 개인 정보가 표시된 화면 스크린샷을 촬영하고 개인 정보가 숨겨지게 이미지를 잘라 내거나 편집할 수 있지만 이 취약점을 이용해 숨겨야 할 개인 정보가 유출될 가능성이 있다.
마찬가지로 편집한 스크린샷을 복원할 수 있는 취약점이 구글 스마트폰이 픽셀 시리즈에 탑재된 마크업 앱에서도 보고됐다. 예를 들어 편집한 PNG 이미지 IEND 부분에는 보통 데이터가 존재하지 않는다.
CVE-2023-28303 영향을 받는 이미지의 경우 이 IEND 부분에 여분 데이터가 존재하고 있어 이에 따라 원본 상태 이미지로 복원할 수 있게 되어 버리는 것이다. 보도에 따르면 이 취약점 영향을 받은 이미지는 인터넷상에 다수 공개되어 있다고 한다. 멀웨어 검사 사이트인 바이러스토털은 CVE-2023-28303 영향을 받은 이미지를 4,000장 이상 호스팅할 수 있다고 말한다.
마이크로소프트는 윈도 인사이더 카나리에서 CVE-2023-28303 수정 사항을 테스트했으며 3월 24일 취약점에 대응하는 보안 업데이트를 제공했다. 이 보안 업데잍크 영향을 받는 건 윈도11 스니핑 툴과 윈도10 도구다. 보안 업데이트를 설치하면 윈도11 스니핑 툴은 버전 10.2008.3001.0, 윈도10 잘라내기 및 스케치는 버전 11.2302.20.0이 된다.
마이크로소프트는 CVE-2023-28303 심각도를 낮음으로 분류하고 문제가 발생하는 조건은 2가지로 확인했다. 첫째 사용자가 스크린샷을 촬영해 파일을 저장하고 파일을 편집하고 덮어 쓰기로 저장하는 것. 둘째 사용자가 스니핑 툴에서 이미지를 열고 파일을 편집한 다음 덮어쓰기 저장하는 것. 다시 말해 편집한 이미지를 덮어쓰기 저장한 경우 문제가 발생하지만 편집한 이미지를 새로 저장한 경우에는 편집 전 상태로 복원할 수 없다는 것이다. 관련 내용은 이곳에서 확인할 수 있다.