🇰🇷 한글 설명
AutoBizLine, Inc.이 개발한 2nd Line Android 앱(패키지명 com.mysecondline.app) v1.2.92 이하 버전의 인증 메커니즘에 부적절한 접근 제어 취약점이 존재합니다. 서버가 user_token의 첫 번째 문자만 검증하여, 공격자가 토큰을 무차별 대입으로 찾아 다른 사용자 계정을 무단으로 조회할 수 있습니다. 이를 악용하면 개인정보 유출 및 사용자 데이터에 대한 무단 접근이 발생할 수 있습니다.
💡 쉬운 설명
이 앱은 로그인 확인을 매우 허술하게 합니다. 해커가 몇 번만 시도해도 다른 사람의 계정 정보를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
2nd Line Android App version v1.2.92 and before (package name com.mysecondline.app), developed by AutoBizLine, Inc., contains an improper access control vulnerability in its authentication mechanism. The server only validates the first character of the user_token, enabling attackers to brute force tokens and perform unauthorized queries on other user accounts. Successful exploitation could result in privacy breaches and unauthorized access to user data.
📍 영향받는 시스템
2nd Line Android 앱 v1.2.92 이하 (패키지명 com.mysecondline.app)
⚔️ 공격 벡터
user_token의 첫 글자만 검증하는 약점을 이용해 토큰을 무차별 대입으로 추측하여 타인 계정에 무단 접근
🛡️ 대응 방법
앱을 최신 버전으로 업데이트하고, 서버 측에서 user_token 전체를 검증하도록 인증 로직을 수정
🔧 검증 코드
출력된 versionName이 1.2.92 이하이면 취약하며, 1.2.93 이상이면 패치된 버전입니다.
adb shell dumpsys package com.mysecondline.app 2>/dev/null | grep -E 'versionName'