🇰🇷 한글 설명
BLU View 2 및 Sharp Rouvo V 안드로이드 기기에 사전 설치된 com.evenwell.fqc 앱의 권한 제어 미흡으로 인해, 로컬의 제3자 앱이 시스템 권한으로 임의의 쉘 명령을 실행할 수 있는 취약점입니다. 공격자는 이를 통해 권한 부여, 앱 설치, 화면 녹화, 기기 초기화 등 민감한 기능을 악용할 수 있습니다.
💡 쉬운 설명
스마트폰에 기본으로 깔려 있는 특정 앱의 보안 구멍을 통해, 나쁜 앱이 휴대폰의 모든 권한을 몰래 뺏어갈 수 있는 문제입니다. 이 앱을 통해 화면을 몰래 녹화하거나 휴대폰의 데이터를 모두 지워버리는 등의 위험한 행동이 가능합니다.
🇺🇸 원문 (English)
Certain software builds for the BLU View 2 and Sharp Rouvo V Android devices contain a vulnerable pre-installed app with a package name of com.evenwell.fqc (versionCode='9020801', versionName='9.0208.01' ; versionCode='9020913', versionName='9.0209.13' ; versionCode='9021203', versionName='9.0212.03') that allows local third-party apps to execute arbitrary shell commands in its context (system user) due to inadequate access control. No permissions or special privileges are necessary to exploit the vulnerability in the com.evenwell.fqc app. No user interaction is required beyond installing and running a third-party app. The vulnerability allows local apps to access sensitive functionality that is generally restricted to pre-installed apps, such as programmatically performing the following actions: granting arbitrary permissions (which can be used to obtain sensitive user data), installing arbitrary apps, video recording the screen, wiping the device (removing the user's apps and data), injecting arbitrary input events, calling emergency phone numbers, disabling apps, accessing notifications, and much more. The software build fingerprints for each confirmed vulnerable device are as follows: BLU View 2 (BLU/B131DL/B130DL:11/RP1A.200720.011/1672046950:user/release-keys, BLU/B131DL/B130DL:11/RP1A.200720.011/1663816427:user/release-keys, BLU/B131DL/B130DL:11/RP1A.200720.011/1656476696:user/release-keys, BLU/B131DL/B130DL:11/RP1A.200720.011/1647856638:user/release-keys) and Sharp Rouvo V (SHARP/VZW_STTM21VAPP/STTM21VAPP:12/SP1A.210812.016/1KN0_0_460:user/release-keys and SHARP/VZW_STTM21VAPP/STTM21VAPP:12/SP1A.210812.016/1KN0_0_530:user/release-keys). This malicious app starts an exported activity named com.evenwell.fqc/.activity.ClickTest, crashes the com.evenwell.fqc app by sending an empty Intent (i.e., having not extras) to the com.evenwell.fqc/.FQCBroadcastReceiver receiver component, and then it sends command arbitrary shell commands to the com.evenwell.fqc/.FQCService service component which executes them with "system" privileges.
📍 영향받는 시스템
BLU View 2 및 Sharp Rouvo V (com.evenwell.fqc 버전 9.0208.01, 9.0209.13, 9.0212.03)
⚔️ 공격 벡터
로컬에 설치된 악성 앱이 취약한 앱의 Activity, Receiver, Service를 호출하여 시스템 권한 획득
🛡️ 대응 방법
제조사에서 제공하는 최신 보안 업데이트를 설치하거나 해당 취약 앱의 업데이트를 확인하십시오.
🔧 검증 코드
패키지명이 검색되고 버전 정보가 취약한 버전(9.0208.01, 9.0209.13, 9.0212.03) 중 하나와 일치하면 취약한 상태입니다.
adb shell pm list packages | grep com.evenwell.fqc && adb shell dumpsys package com.evenwell.fqc | grep versionName