비밀번호 대충 9자리 치면 남의 계정 털리던 전설의 1998년 ICQ 버그 수준 ㄷㄷ

요약 1998년 당시 전 세계 메신저 시장을 주름잡던 ICQ에서 누구의 계정이든 비밀번호 없이 로그인할 수 있는 황당하고 치명적인 보안 취약점이 발견됐던 사실이 재조명되었습니다. 당시 리눅스용 ICQ 서드파티 클라이언트를 개발하던 개발자는 한 이용자가 비밀번호를 잘못 입력했는데도 계정에 정상 로그인되는 이상 현상을 발견하고 원인 분석에 들어갔습니다. 조사 결과, 공식 미라빌리스(Mirabilis) 서버는 비밀번호를 최대 8자까지만 처리하도록 설계되어 있었으며, 글자 수 제한 검증을 서버가 아닌 윈도우 공식 클라이언트 프로그램 자체에서만 수행하고 있었습니다. 하지만 검증 제한이 없는 사설 클라이언트 등을 통해 9자리 이상의 비밀번호(예: 123456789)를 서버에 전송할 경우, 서버 내부에서 버퍼 오버플로우가 발생하며 비밀번호 일치 여부와 무관하게 무조건 로그인을 승인해 버리는 치명적인 버그가 작동했습니다. 이 취약점은 단순한 신원 도용(스푸핑) 수준이 아니라 타깃 이용자의 UIN(식별 번호)으로 완벽하게 접속하는 방식이었습니다. 상대방이 접속해 있지 않은 상태라면 오프라인 동안 쌓인 메시지 수신은 물론, 타깃의 계정으로 메시지나 URL을 전송하는 모든 권한을 그대로 탈취할 수 있어 큰 충격을 안겼습니다. 해당 내용은 보안 메일링 리스트인 Rootshell을 통해 검증 및 전파되었습니다.