🇰🇷 한글 설명
Android용 Groww 주식, 뮤추얼 펀드, 골드 앱(버전 20260805 이하)에서 취약점이 발견되었습니다. WebView URL 핸들러의 일부 구성 요소에 영향을 주며, 사용자 정의 URL 스킴을 처리하는 핸들러에서 부적절한 권한 검증이 발생합니다. 물리적 기기에서 공격이 가능하지만 공격 복잡도가 높고 악용이 어려우며, 공개된 익스플로잇이 존재합니다. 벤더에는 사전에 통보되었습니다.
💡 쉬운 설명
Groww 앱이 외부에서 전달된 특정 링크를 처리할 때 확인이 충분하지 않은 문제가 있습니다. 공격자가 실제 기기에 접근할 수 있는 상황에서만 악용 가능하며, 공격 난이도가 높아 위험도는 낮은 편입니다.
🇺🇸 원문 (English)
A vulnerability was identified in Groww Stock, Mutual Fund, Gold App up to 20260805 on Android. This affects an unknown part of the component WebView URL Handler. The manipulation leads to improper authorization in handler for custom url scheme. It is possible to launch the attack on the physical device. The complexity of an attack is rather high. It is indicated that the exploitability is difficult. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure.
📍 영향받는 시스템
Groww Stock, Mutual Fund, Gold 앱 Android 버전 20260805 이하
⚔️ 공격 벡터
물리적으로 접근한 기기에서 조작된 사용자 정의 URL 스킴을 통해 앱의 WebView URL 핸들러 권한 검증을 우회
🛡️ 대응 방법
Google Play 스토어에서 Groww 앱을 최신 버전으로 업데이트
🔧 검증 코드
출력된 versionName이 20260805보다 높으면 패치된 버전이며, 같거나 낮으면 즉시 업데이트가 필요합니다.
dumpsys package com.nextbillion.groww 2>/dev/null | grep -E 'versionName'
📊 CVSS Vector String
CVSS:3.1/AV:P/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
Microsoft Edge for Android