Android 'SMS of Death' 취약점, 클릭 없이 통화 먹통

독립 보안 연구원 Mark Blaszczyk가 Android의 제로데이 취약점 'SMS of Death'를 공개했습니다. 특정 SMS를 받기만 해도 사용자의 조작 없이 전화 기능이 중단됩니다. Google이 이미 수정했기 때문에 업데이트된 기기는 안전합니다.

작동 원리

문제는 MMS 알림이나 푸시 콘텐츠에 쓰이던 구형 '데이터 SMS' 처리 구성요소에 있습니다. 이 메시지는 화면에 표시되지 않고 백그라운드에서 처리됩니다. Android는 메시지 헤더 길이를 long 정수로 읽은 뒤 값을 검증하지 않고 32비트 부호 있는 정수로 변환합니다.

5바이트 시퀀스 88 80 80 80 00을 쓰면 값이 -2147483648이 됩니다. Android가 이 음수 크기의 바이트 배열을 만들려다 통신을 담당하는 com.android.phone 프로세스가 종료됩니다. 프로세스가 재시작되는 1~2초 동안 서비스가 끊기고 진행 중인 통화도 끊깁니다.

공격에는 전화번호만 필요하며 메시지는 받은편지함이나 알림에 나타나지 않습니다.

반복 전송 시 피해 확대

연구원에 따르면 한 통만으로도 최대 일주일간 간헐적 끊김이 발생할 수 있고, 20통가량이면 훨씬 오래 사용하지 못하게 만들 수 있습니다. 약 30통을 빠르게 보내면 SMS를 저장하는 SQLite 데이터베이스가 손상돼 부팅할 때마다 충돌할 수 있습니다.

같은 SMS가 다시 전송될 수 있어 초기화로도 해결되지 않을 수 있습니다. 연구원은 물리 SIM을 Android가 아닌 기기에 꽂아 손상된 SMS를 삭제하는 방법을 제시했지만, eSIM에서는 사실상 불가능합니다.

패치 현황

Blaszczyk는 5월 5일 Android and Devices Vulnerability Reward Program으로 Google에 제보했습니다. 처음에는 보안 문제로 분류되지 않았으나 2026년 6월 15일 수정 패치가 만들어졌고, 2026년 10월 보안 업데이트에 Android 14~17용으로 포함됐습니다. 대부분 기기는 자동으로 업데이트됩니다.

데이터 탈취나 스파이웨어 설치, 기기 장악은 불가능하며 영향은 통화와 이동통신을 막는 서비스 거부 공격에 한정됩니다. 다만 긴급 통화에 지장을 줄 수 있어 가장 큰 우려로 꼽힙니다. 악용 사례는 확인되지 않았습니다.