🇰🇷 한글 설명
Apache Cordova Android 3.5.1 이전 버전에서 JavaScript를 통한 WebSocket 연결로 HTTP 화이트리스트 보안 정책을 우회할 수 있는 취약점입니다. 공격자가 이를 악용하여 애플리케이션을 제한된 서버 목록을 벗어난 임의의 악의적 서버에 연결하도록 할 수 있습니다.
💡 쉬운 설명
Cordova 앱의 네트워크 보안 설정을 무시하고 원하지 않는 서버에 연결할 수 있는 문제입니다. 공격자가 앱을 속여 악의적인 서버에서 데이터를 받거나 민감한 정보를 유출하도록 만들 수 있습니다.
🇺🇸 원문 (English)
Apache Cordova Android before 3.5.1 allows remote attackers to bypass the HTTP whitelist and connect to arbitrary servers by using JavaScript to open WebSocket connections through WebView.
📍 영향받는 시스템
Apache Cordova Android 3.5.1 이전 모든 버전
⚔️ 공격 벡터
JavaScript WebSocket API를 악용하여 화이트리스트된 도메인 외 임의의 서버로 연결 시도
🛡️ 대응 방법
Apache Cordova Android를 3.5.1 이상으로 업그레이드하고 앱을 재빌드하여 배포
🔧 검증 코드
Cordova 버전 정보를 확인하여 3.5.1 이상인지 검증하며, 3.5.0 이하일 경우 취약 상태입니다.
grep -i 'cordova' platforms/android/AndroidManifest.xml 2>/dev/null || npm list cordova 2>/dev/null | head -1