🇰🇷 한글 설명
Conscrypt의 OpenSSLCipher.java에서 AAD(추가 인증 데이터) 배열 리셋 처리 오류로 인해 메시지 인증을 위조할 수 있습니다. Android 6.x (2016-05-01 이전)에서 암호화 통신의 무결성이 손상되어 공격자가 메시지를 위조하거나 변조할 수 있게 됩니다.
💡 쉬운 설명
Android 메시지 보안 검증에 버그가 있어서 위조된 메시지를 진짜인 것처럼 속일 수 있습니다. 데이터 도청뿐 아니라 조작도 가능해집니다.
🇺🇸 원문 (English)
OpenSSLCipher.java in Conscrypt in Android 6.x before 2016-05-01 mishandles resets of the Additional Authenticated Data (AAD) array, which allows attackers to spoof message authentication via unspecified vectors, aka internal bugs 27324690 and 27696681.
📍 영향받는 시스템
Android 6.x (Marshmallow) 및 이전, 2016-05-01 이전 빌드
⚔️ 공격 벡터
네트워크 통신 중 메시지 인증 검증 로직을 우회하여 조작된 메시지를 정상 메시지로 위장
🛡️ 대응 방법
Android 보안 패치 2016-05-01 이후 버전으로 업데이트 또는 Conscrypt 라이브러리 최신 버전 적용
🔧 검증 코드
빌드 날짜가 2016-05-01 이전이면 취약 상태이고, 이후 날짜면 패치되었습니다.
getprop ro.build.fingerprint 2>/dev/null | head -c 20