악의적인 Twitch 채팅 메시지가 OBS Studio에서 코드 실행을 유발할 수 있음

약한 OBS 오버레이와 오래된 Chromium 취약점을 결합하면 악의적인 Twitch 채팅 메시지가 스트리머의 Windows PC에서 기본 코드 실행으로 전환될 수 있습니다.

이 공격을 위해서는 스트리머가 기본 보안 설정을 변경하지 않고 OBS Studio 32.2.2 이하 버전을 사용해야 했습니다.

연구는 Orange 연구원이 친구가 게시한 맞춤형 Twitch 채팅 오버레이의 코드를 보여주는 스크린샷을 보고 시작되었습니다. 오버레이는 시청자 메시지를 정제되지 않은 HTML로 페이지에 직접 삽입하여 Twitch 시청자가 오버레이 내에서 JavaScript를 실행할 수 있게 하는 XSS(교차 사이트 스크립팅) 결함을 생성했습니다.

Orange는 2026년 2월부터 오버레이 개발자와 협력하기 시작했으며 이후 7월에 업데이트된 Windows 11 시스템에서 전체 공격 체인을 재현했습니다. 해당 문제는 8월 19일 OBS팀에 보고됐고, 9월 22일 공개됐다.

OBS Studio는 라이브 스트리밍 및 비디오 녹화에 널리 사용되는 오픈 소스 애플리케이션입니다. 브라우저 소스 기능을 통해 스트리머는 채팅 상자, 기부 알림, 팔로어 알림, 애니메이션 및 기타 대화형 위젯과 같은 웹 기반 콘텐츠를 장면 내부에 직접 표시할 수 있습니다.

이러한 브라우저 소스는 CEF(Chromium Embedded Framework)를 통해 Chromium을 사용하여 제공됩니다. 이는 취약한 오버레이가 단순히 텍스트를 표시하는 것이 아니라는 것을 의미합니다. XSS는 공격자가 제어하는 ​​JavaScript가 OBS에 포함된 Chromium 렌더러 내에서 실행되도록 허용했습니다.

일반적으로 Chromium 렌더러가 손상되더라도 브라우저 샌드박스가 손상된 프로세스를 제한할 수 있으므로 기본 운영 체제에 대한 액세스 권한이 즉시 부여되지는 않습니다. 그러나 OBS는 Chromium 샌드박스가 비활성화된 상태로 CEF 환경을 구성했습니다.

Orange는 OBS Studio 32.2.2가 v8 12.7.224.18과 함께 Chromium 127.0.6533.120도 함께 제공하여 Google이 2024년 8월 Chrome 128에서 수정한 v8 유형 혼동 취약점인 CVE-2024-7971에 취약하다는 사실을 발견했습니다.

CVE-2024-7971은 실제 공격에 사용된 것으로 추정됩니다. Microsoft는 이전에 Citrine Sleet로 알려진 추적된 북한 위협 행위자와 이 취약점의 악용을 연결했으며 CISA는 이 결함을 알려진 악용 취약점 카탈로그에 추가했습니다.

Orange는 OBS와 함께 번들로 제공되는 CEF 버전에 대한 개념 증명 익스플로잇을 개발했습니다. 시연된 시리즈에서는 악의적인 Twitch 메시지가 오버레이의 XSS를 트리거했고, JavaScript는 CVE-2024-7971을 악용하여 Chromium 렌더러 내에서 네이티브 코드 실행을 얻었으며, 샌드박스가 없다는 것은 추가 샌드박스 이스케이프 취약점이 필요하지 않음을 의미했습니다.

연구원은 기본 OBS 설치가 Twitch 메시지에 자동으로 민감하지 않다는 점을 강조했습니다. 원격 진입점은 뷰어가 제어하는 ​​데이터를 원시 HTML로 렌더링하는 브라우저 소스에 의존합니다. OBS 브라우저 소스 또는 브라우저 도크에 직접 로드된 공격자가 제어하는 ​​웹페이지는 잠재적으로 브라우저 악용 단계에 대한 또 다른 경로를 제공할 수 있습니다.

OBS는 이후 두 건의 구조 작업을 진행해 왔습니다. 이 프로젝트는 임베디드 브라우저를 CEF 128 이상으로 업그레이드하고 있으며 관련 변경 사항은 9월에 obs-browser와 obs-studio에 병합되었습니다. 또한 팀은 인증과 관련된 이전 호환성 문제 이후 Chromium 샌드박스를 다시 활성화할 수 있는지 테스트하고 있습니다.

업데이트된 빌드가 배포될 때까지 스트리머와 오버레이 개발자는 브라우저 소스 콘텐츠를 신뢰할 수 없는 것으로 간주해야 합니다. 뷰어 메시지는 가능하면 일반 텍스트로 삽입해야 하며 실제로 HTML이 필요한 모든 애플리케이션은 OBS 내부에서 렌더링하기 전에 이를 정리해야 합니다.