🇰🇷 한글 설명
Xtooltech Xtool AnyScan Android 애플리케이션 4.40.40 버전에는 중요 기능에 대한 인증이 누락되어 있습니다. 애플리케이션 업데이트 패키지를 제공하는 서버 측 엔드포인트가 인증을 요구하지 않아, 인증되지 않은 원격 공격자가 공식 업데이트 패키지를 자유롭게 다운로드할 수 있습니다.
💡 쉬운 설명
AnyScan 앱의 업데이트 파일을 내려받는 서버에 로그인 없이 누구나 접속할 수 있습니다. 공격자가 공식 업데이트 파일을 입수해 분석하거나 변조 시도에 활용할 수 있습니다.
🇺🇸 원문 (English)
Xtooltech Xtool AnyScan Android Application 4.40.40 is Missing Authentication for Critical Function. The server-side endpoint responsible for serving update packages for the application does not require any authentication. This allows an unauthenticated remote attacker to freely download official update packages..
📍 영향받는 시스템
Xtooltech Xtool AnyScan Android 애플리케이션 4.40.40 버전 (업데이트 서버 엔드포인트)
⚔️ 공격 벡터
인증 없이 업데이트 서버 엔드포인트에 원격 접근하여 업데이트 패키지를 직접 다운로드
🛡️ 대응 방법
업데이트 패키지 제공 엔드포인트에 인증 및 접근 통제를 적용하고, 최신 버전으로 업데이트하며 벤더 보안 권고를 확인
🔧 검증 코드
출력된 versionName이 4.40.40이면 취약 버전이므로 업데이트 또는 격리가 필요하며, 명령 결과가 없으면 앱이 설치되지 않은 것입니다.
adb shell dumpsys package com.xtooltech.anyscan 2>/dev/null | grep -E 'versionName'