🇰🇷 한글 설명
Android 5.1.1 LMY48I 이전 버전의 OpenSSL X509 인증서 클래스가 직렬화 과정에서 민감한 컨텍스트 데이터를 부적절하게 포함하여, 악의적인 Intent를 전송하는 애플리케이션을 통해 임의 코드 실행이 가능합니다. 내부 버그 21437603으로 등록되었으며 CVSS 9.3의 심각한 취약점입니다.
💡 쉬운 설명
Android 폰의 보안 인증서 처리에서 민감한 정보가 노출되어 악성 앱이 임의의 명령을 실행할 수 있습니다. 이 문제는 Android 5.1.1(LMY48I) 이상의 업데이트로 수정됩니다.
🇺🇸 원문 (English)
The OpenSSLX509Certificate class in org/conscrypt/OpenSSLX509Certificate.java in Android before 5.1.1 LMY48I improperly includes certain context data during serialization and deserialization, which allows attackers to execute arbitrary code via an application that sends a crafted Intent, aka internal bug 21437603.
📍 영향받는 시스템
Android 5.1.1 LMY48I 이전 모든 버전 (4.x ~ 5.1.0)
⚔️ 공격 벡터
악성 애플리케이션이 특수 조작된 Intent를 통해 OpenSSL X509Certificate 역직렬화 중 코드 실행
🛡️ 대응 방법
Android 5.1.1 LMY48I 이상의 보안 업데이트 설치
🔧 검증 코드
명령어가 'Patched'를 반환하면 패치됨, 'Vulnerable'이면 취약점 존재 (Android 기기 필요)
getprop ro.build.version.release | awk -F. '{if($1>5 || ($1==5 && $2>1) || ($1==5 && $2==1 && $3>=1)) print "Patched"; else print "Vulnerable"}'