리눅스용 줌(Zoom) 클라이언트 최신 버전(7.1.5)에서 사용자가 명시적으로 붙여넣기(Ctrl+V)를 하지 않았음에도 X11 클립보드(CLIPBOARD 선택 영역)의 내용을 선제적으로 읽는 동작이 발견되어 논란이 되고 있습니다. 이전 버전(6.6)에서는 나타나지 않던 이 현상은, 클립보드에 복사되는 모든 텍스트를 줌이 실시간으로 들여다볼 수 있다는 의미로, 사용자 프라이버시 침해 및 보안 문제로 이어질 수 있습니다.
이 문제는 개발자 사이먼 테이텀(Simon Tatham)이 직접 만든 '일회성 붙여넣기 도구'가 줌 업데이트 후 제대로 작동하지 않는 것을 발견하면서 드러났습니다. XFIXES 확장 기능을 이용해 클립보드 소유자 변경을 감지하고, 새 소유자가 클립보드 내용을 복사하는 순간 줌이 즉시 붙여넣기 요청을 보내는 방식으로 작동하는 것으로 분석됩니다. 이는 비밀번호 관리자가 클립보드를 통해 비밀번호를 전달하는 경우에도 줌이 해당 정보를 읽을 수 있음을 시사하며, 웹 설정에서 '원격 제어 사용자의 클립보드 공유 허용' 옵션을 비활성화해도 이 동작은 멈추지 않는 것으로 확인되었습니다.
이번 줌의 클립보드 무단 접근은 화상 회의 앱의 필요 이상으로 과도한 권한 요구에 대한 우려를 다시 한번 불러일으키고 있습니다. 특히 민감한 정보를 다루는 사용자들에게는 잠재적인 보안 위협이 될 수 있습니다. 많은 사용자가 브라우저 기반 웹 클라이언트보다 데스크톱 클라이언트를 선호하는 경향이 있지만, 이와 같은 문제로 인해 샌드박스 환경에서 더 안전하게 작동하는 웹 클라이언트 사용을 고려해야 할 필요성이 제기됩니다. 또한, 리눅스 운영체제(OS) 수준에서 프로세스의 클립보드 접근을 통제하는 기능이 미흡하다는 점도 함께 지적되며, 향후 Wayland와 같은 새로운 디스플레이 서버 환경에서는 이러한 접근 방식에 변화가 있을지 주목됩니다.