🇰🇷 한글 설명
Android용 VLC 3.7.2 이전 버전의 FileUtils.getUri() 함수는 com.fsck.k9.attachmentprovider 또는 gmail-ls 권한 주체를 신뢰하여 콘텐츠 URI를 검증합니다. 권한이 없는 동일 기기 내 앱이 이러한 권한 주체를 선언하고 조작된 VIEW 인텐트를 보내면, VLC가 공유 Download 디렉터리에 공격자가 지정한 내용과 이름으로 파일을 기록하여 All files access 권한이 있을 때 다른 앱의 파일을 덮어쓸 수 있습니다. 이는 혼동된 대리자(confused deputy) 취약점입니다.
💡 쉬운 설명
안드로이드 VLC 앱이 다른 앱이 보낸 신호를 무조건 믿어서, 악성 앱이 VLC를 이용해 다른 앱의 파일을 덮어쓸 수 있습니다. 파일 접근 권한이 있는 경우에만 피해가 발생합니다.
🇺🇸 원문 (English)
VLC for Android before 3.7.2 contains a confused-deputy file overwrite vulnerability in FileUtils.getUri() that trusts content URIs based only on the com.fsck.k9.attachmentprovider or gmail-ls authority. A co-installed app without permissions can declare these authorities and send a crafted VIEW intent to the exported StartActivity, making VLC write attacker-chosen content under an attacker-chosen name in the shared Download directory, overwriting other apps' files when VLC holds All files access.
📍 영향받는 시스템
Android용 VLC 3.7.2 이전 버전 (All files access 권한 보유 시)
⚔️ 공격 벡터
권한 없는 동일 기기 내 악성 앱이 조작된 VIEW 인텐트로 VLC의 exported StartActivity를 호출해 Download 폴더 내 파일을 덮어씀
🛡️ 대응 방법
VLC for Android를 3.7.2 이상으로 업데이트하고, 불필요한 All files access 권한을 회수
🔧 검증 코드
출력된 versionName이 3.7.2 미만이면 취약하며, 3.7.2 이상이면 패치된 버전입니다.
adb shell dumpsys package org.videolan.vlc 2>/dev/null | grep -E 'versionName'
📊 CVSS Vector String
CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
Microsoft Edge for Android