🇰🇷 한글 설명
TalkTalk 3.3.6 안드로이드 앱의 여러 API 엔드포인트에 부적절한 접근 제어 취약점이 존재합니다. 공격자가 요청 파라미터를 변조하면 기기 식별자, 생년월일 같은 민감한 사용자 정보를 획득하고 비공개 그룹의 가입 자격 증명을 포함한 정보에 접근할 수 있습니다. 악용 시 개인정보 유출과 제한된 리소스에 대한 무단 접근이 발생할 수 있습니다.
💡 쉬운 설명
TalkTalk 앱은 요청 내용을 살짝 바꾸는 것만으로 다른 사람의 개인정보를 볼 수 있는 보안 결함이 있습니다. 해커가 비공개 모임에도 몰래 들어갈 수 있어 개인정보가 새어 나갈 위험이 있습니다.
🇺🇸 원문 (English)
TalkTalk 3.3.6 Android App contains improper access control vulnerabilities in multiple API endpoints. By modifying request parameters, attackers may obtain sensitive user information (such as device identifiers and birthdays) and access private group information, including join credentials. Successful exploitation may result in privacy breaches and unauthorized access to restricted resources.
📍 영향받는 시스템
TalkTalk 안드로이드 앱 3.3.6 버전
⚔️ 공격 벡터
API 요청 파라미터를 변조하여 권한 검사를 우회하고 민감 정보 및 비공개 그룹 정보에 접근
🛡️ 대응 방법
TalkTalk 앱을 최신 버전으로 업데이트하고, 서버 측에서 모든 API 엔드포인트의 접근 권한을 검증하도록 수정
🔧 검증 코드
출력된 versionName이 3.3.6이면 취약 버전이므로 즉시 업데이트가 필요하며, 3.3.6보다 높은 버전이면 패치된 것으로 판단합니다.
adb shell dumpsys package com.talktalk.app 2>/dev/null | grep -E 'versionName'