🔍 CVE-2016-10383

8.1
CVSS Score
HIGH
2017-08-18
2026-05-13 00:24
✅ 완료

🇰🇷 한글 설명

Qualcomm 칩셋을 사용하는 Android 기기의 Secure UI 구현에서 발견된 TOCTOU(시간-점검 시간-사용) 경합 조건 취약점이다. 이를 악용하면 로컬 공격자가 보안 검증 메커니즘을 우회하여 권한을 상향할 수 있다.

💡 쉬운 설명

Android 폰의 보안 시스템에서 두 가지 작업 사이의 미세한 시간 차이를 이용하여 보안을 우회할 수 있는 결함이다. 기기에 물리적으로 접근할 수 있는 사람이 악용할 수 있다.

🇺🇸 원문 (English)

In all Qualcomm products with Android releases from CAF using the Linux kernel, there is a TOCTOU race condition in Secure UI.

📍 영향받는 시스템

Qualcomm Snapdragon 칩셋이 탑재된 Android 기기 (2016년 이전 보안 패치 미적용 기기)

⚔️ 공격 벡터

기기에 물리적으로 접근 가능한 로컬 공격자가 Secure UI 작업 간의 경합 조건을 악용하여 제한된 명령어 실행

🛡️ 대응 방법

Android 보안 패치 (2016년 4월 이상), Qualcomm 펌웨어 업데이트 적용

🔧 검증 코드

2016년 4월 이전 보안 패치 버전이 출력되면 취약함. 2016-04 이상의 최신 패치가 표시되면 안전함.

Shell / Script
adb shell getprop ro.build.version.security_patch | grep -E '2016-(0[1-3]|1[0-2])|20(1[0-5]|0[0-9])'

📊 CVSS Vector String

CVSS Vector
CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

Linux Kernel