🇰🇷 한글 설명
IO FIT, K.K.가 개발한 AG Life Logger 안드로이드 앱(패키지명 com.donki.healthy, 버전 v1.0.2.72 이하)에 부적절한 접근 제어 취약점이 존재합니다. 트래픽에 노출된 자격 증명으로 클라우드 리소스가 악용될 수 있으며, 예측 가능한 인증 코드로 계정 무차별 대입 로그인이 가능합니다. 악용 시 계정 탈취, 개인정보 유출, 클라우드 리소스 남용이 발생할 수 있습니다.
💡 쉬운 설명
건강 기록 앱인 AG Life Logger에 보안 허점이 있어, 해커가 로그인 정보를 훔치거나 인증번호를 맞혀 남의 계정에 들어갈 수 있습니다. 이 경우 개인 건강 정보가 유출되고 앱의 클라우드 서비스가 무단으로 사용될 수 있습니다.
🇺🇸 원문 (English)
AG Life Logger Android App version v1.0.2.72 and before (package name com.donki.healthy), developed by IO FIT, K.K., contains improper access control vulnerabilities. Exposed credentials in traffic may allow attackers to misuse cloud resources, and predictable verification codes make brute-force account logins feasible. Successful exploitation could result in account compromise, privacy breaches, and abuse of cloud resources.
📍 영향받는 시스템
AG Life Logger Android 앱 v1.0.2.72 이하 (패키지명 com.donki.healthy)
⚔️ 공격 벡터
네트워크 트래픽에 노출된 자격 증명을 탈취하고, 예측 가능한 인증 코드를 무차별 대입하여 계정에 로그인
🛡️ 대응 방법
개발사 제공 최신 버전으로 앱을 업데이트하고, 인증 코드를 무작위 생성 및 횟수 제한하도록 개선하며, 비밀번호 변경
🔧 검증 코드
versionName 값이 v1.0.2.72 이하이면 취약하며, 그보다 높은 버전이면 패치된 것으로 판단합니다.
adb shell dumpsys package com.donki.healthy 2>/dev/null | grep -E 'versionName'