🇰🇷 한글 설명
Android용 Maxthon 브라우저 7.5.8.103 이전 버전에는 주소창 위조 취약점이 존재합니다. Fullscreen API 호출 시 지속적인 전체화면 알림이나 신뢰할 수 있는 출처 표시가 없어, 공격자가 신뢰된 도메인처럼 보이는 가짜 주소창을 렌더링할 수 있습니다. 이로 인해 사용자가 피싱을 통해 자격 증명을 노출할 위험이 있습니다.
💡 쉬운 설명
Android용 Maxthon 브라우저에서 전체화면 모드로 전환될 때 실제 주소창이 아닌 가짜 주소창이 표시될 수 있습니다. 사용자는 신뢰할 수 있는 사이트로 착각하고 로그인 정보를 입력할 수 있습니다.
🇺🇸 원문 (English)
Maxthon Browser for Android before 7.5.8.103 contains an address bar spoofing vulnerability that allows remote attackers to misrepresent a page's origin by exploiting the lack of a persistent fullscreen notification or trusted origin indicator when the Fullscreen API is invoked. Attackers can craft a malicious web page that renders a counterfeit address bar showing a trusted domain while displaying attacker-controlled content, tricking users who perform a single tap to enter fullscreen into disclosing credentials via phishing.
📍 영향받는 시스템
Maxthon Browser for Android 7.5.8.103 이전 버전
⚔️ 공격 벡터
악성 웹페이지가 가짜 주소창을 렌더링한 뒤 사용자의 전체화면 전환 탭을 유도하여 피싱으로 자격 증명을 탈취
🛡️ 대응 방법
Maxthon Browser for Android를 7.5.8.103 이상 버전으로 업데이트
🔧 검증 코드
출력된 versionName이 7.5.8.103 미만이면 취약하며, 이상이면 패치가 적용된 것입니다.
adb shell dumpsys package com.mx.browser 2>/dev/null | grep -E 'versionName'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
Microsoft Edge for Android