🇰🇷 한글 설명
Android용 Chess Play and Learn App 4.9.42 이하 버전에서 com.chess 컴포넌트의 AndroidManifest.xml 처리 과정에 결함이 발견되었습니다. 이로 인해 백업 파일이 권한이 없는 주체에게 노출될 수 있으며, 물리적 기기 접근이 있는 환경에서 공격이 가능합니다. 공개된 익스플로잇이 존재하며 벤더는 이를 인지하고 수정할 예정입니다.
💡 쉬운 설명
이 앱의 설정 관련 결함 때문에 앱 데이터의 백업 파일이 외부에 노출될 수 있습니다. 공격자가 직접 휴대폰을 만질 수 있는 상황에서만 악용이 가능합니다.
🇺🇸 원문 (English)
A weakness has been identified in Chess Play and Learn App up to 4.9.42 on Android. This issue affects some unknown processing of the file AndroidManifest.xml of the component com.chess. This manipulation causes exposure of backup file to an unauthorized control sphere. It is feasible to perform the attack on the physical device. The exploit has been made available to the public and could be used for attacks. Upgrading the affected component is advised. The vendor was informed early about this issue. They confirmed the existence and that they will address it. Furthermore, they explain that their bug bounty "explicitly excludes physical-access attacks". However, they appreciate the quality of the report and aim at making a goodwill payment to the researcher.
📍 영향받는 시스템
Android Chess Play and Learn App 4.9.42 이하 버전 (com.chess 컴포넌트)
⚔️ 공격 벡터
물리적으로 기기에 접근한 공격자가 AndroidManifest.xml 처리 결함을 이용해 백업 파일에 접근
🛡️ 대응 방법
Google Play 스토어에서 앱을 최신 버전(4.9.42 초과)으로 업데이트
🔧 검증 코드
출력된 versionName이 4.9.42 이하이면 취약한 버전이므로 앱을 업데이트해야 하며, 4.9.42 초과이면 패치된 버전입니다.
adb shell dumpsys package com.chess | grep -E 'versionName'
📊 CVSS Vector String
CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
Microsoft Edge for Android