🇰🇷 한글 설명
MSAL.NET 라이브러리의 잘못된 Activity 내보내기 설정으로 인해 발생하는 취약점입니다. Xamarin Android 및 .NET Android(MAUI 포함)를 사용하는 애플리케이션에서 악성 앱이 로컬 서비스 거부(DoS) 공격을 수행하여 정상적인 로그인을 방해할 수 있습니다.
💡 쉬운 설명
스마트폰에 설치된 나쁜 앱이 인증 과정을 방해하여, 사용자가 정상적인 앱에 로그인하지 못하게 만들 수 있는 문제입니다. 앱의 보안 설정이 잘못되어 외부 앱이 내부 기능에 접근할 수 있기 때문에 발생합니다.
🇺🇸 원문 (English)
The MSAL library enabled acquisition of security tokens to call protected APIs. MSAL.NET applications targeting Xamarin Android and .NET Android (e.g., MAUI) using the library from versions 4.48.0 to 4.60.0 are impacted by a low severity vulnerability.
A malicious application running on a customer Android device can cause local denial of service against applications that were built using MSAL.NET for authentication on the same device (i.e., prevent the user of the legitimate application from logging in) due to incorrect activity export configuration. MSAL.NET version 4.60.1 includes the fix. As a workaround, a developer may explicitly mark the MSAL.NET activity non-exported.
📍 영향받는 시스템
MSAL.NET 4.48.0 ~ 4.60.0 버전 (Xamarin Android 및 .NET Android/MAUI 대상)
⚔️ 공격 벡터
동일한 안드로이드 기기에서 실행 중인 악성 애플리케이션을 통한 로컬 서비스 거부(DoS) 공격
🛡️ 대응 방법
MSAL.NET 버전을 4.60.1 이상으로 업데이트하거나, MSAL.NET Activity를 non-exported로 명시적 설정
🔧 검증 코드
출력된 MSAL.Library의 버전이 4.48.0에서 4.60.0 사이인지 확인합니다.
dotnet list package | grep MSAL.Library