🇰🇷 한글 설명
Android 6.x의 Conscrypt 라이브러리 OpenSSLCipher.java에서 AAD(Additional Authenticated Data) 배열 업데이트가 잘못 처리되어 발생하는 취약점입니다. 공격자는 이를 악용하여 메시지 인증을 위조할 수 있어 암호화 통신의 무결성이 손상될 수 있습니다.
💡 쉬운 설명
Android의 암호화 라이브러리에서 메시지 검증 데이터를 잘못 처리하는 버그입니다. 이로 인해 공격자가 진짜인 척 가짜 메시지를 보낼 수 있게 됩니다.
🇺🇸 원문 (English)
OpenSSLCipher.java in Conscrypt in Android 6.x before 2016-05-01 mishandles updates of the Additional Authenticated Data (AAD) array, which allows attackers to spoof message authentication via unspecified vectors, aka internal bug 27371173.
📍 영향받는 시스템
Android 6.x (2016-05-01 이전), Conscrypt 라이브러리 포함 기기
⚔️ 공격 벡터
암호화된 통신에서 AAD 핸들링 결함을 이용한 메시지 인증 위조
🛡️ 대응 방법
Android 6.x 기기를 2016-05-01 이후의 보안 업데이트로 업그레이드 필요
🔧 검증 코드
Android 버전이 6.x로 나타나면 취약할 수 있으며, 추가로 2016-05-01 이후의 보안 패치 여부를 기기 설정에서 확인 필요
getprop ro.build.version.release 2>/dev/null | grep -E '^6' && echo '취약' || echo '안전'