주요 기업들은 일반적으로 매달 기기 성능 향상을 위한 업데이트를 출시합니다. 또한, 이 과정에서 발견된 보안 문제를 수정하여 사용자를 항상 보호합니다. 몇 년 전, 구글은 애플리케이션과 운영체제의 보안 취약점을 탐지 하는 연구팀인 프로젝트 제로(Project Zero)를 설립했습니다 . 이러한 취약점은 제조사에 신속하게 보고되어 공식 발표 전 90일 이내에 수정하도록 안내됩니다. 하지만 이러한 방식은 악의적인 공격자가 이를 악용하여 사용자 정보를 탈취할 수 있다는 점에서 사용자를 위험에 빠뜨릴 수 있습니다.
구글의 정책은 차치하고라도, 이 두 가지 취약점은 제로데이 취약점입니다. 즉, 애플리케이션이나 운영체제 가 개발될 당시부터 존재했지만 개발자가 발견하지 못한 취약점이라는 뜻입니다 . 따라서 해당 애플리케이션이나 시스템은 문제가 해결될 때까지 공격에 취약한 상태로 남아 있을 것입니다.
프로젝트 제로에 따르면, 이 취약점은 악용하기 매우 쉽습니다. rcx와 rax 변수에 초점을 맞춘 단 17줄의 HTML 코드만 있으면 되기 때문입니다. 이를 통해 악의적인 공격자는 사용자의 브라우저를 제어하여 인터넷 익스플로러나 마이크로소프트 엣지에 저장된 사용자 이름과 비밀번호에 접근할 수 있습니다.
이번에 영향을 받는 브라우저는 인터넷 익스플로러와 마이크로소프트 엣지입니다. 이 글의 서두에서 언급했듯이, 마이크로소프트에 문제 해결을 위해 부여된 90일의 유예 기간이 만료되었기 때문에 프로젝트 제로는 사용자들에게 이 취약점을 알릴 수밖에 없었습니다. MSPowerUser에 따르면, 브라우저 제어권을 탈취하는 공격을 방지하는 가장 좋은 방법은 게스트 사용자 , 즉 아무런 권한 없이 브라우저를 실행하는 것입니다.