🇰🇷 한글 설명
AidanPark의 openclaw-android 0.4.0 이하 버전에서 Android WebView Bridge 구성 요소의 JsBridge.kt 파일 내 미확인 함수로 인해 OS 명령 주입 취약점이 발견되었습니다. 이 취약점은 로컬 환경에서만 실행 가능하며, 공격자가 시스템 명령을 실행할 수 있는 위험이 있습니다.
💡 쉬운 설명
앱 내부의 웹 브라우저 연결 통로에 결함이 있어, 기기 내부에서 악성 명령을 내릴 수 있는 보안 구멍이 발견되었습니다. 공격자가 이 구멍을 이용하면 스마트폰의 시스템 명령을 마음대로 조작할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was determined in AidanPark openclaw-android up to 0.4.0. The affected element is an unknown function of the file android/app/src/main/java/com/openclaw/android/JsBridge.kt of the component Android WebView Bridge. This manipulation causes os command injection. The attack can only be executed locally. The exploit has been publicly disclosed and may be utilized. The pull request to fix this issue awaits acceptance.
📍 영향받는 시스템
AidanPark openclaw-android 0.4.0 및 그 이전 버전
⚔️ 공격 벡터
로컬 환경에서의 OS 명령 주입 (OS Command Injection)
🛡️ 대응 방법
해당 취약점이 수정된 최신 버전으로 업데이트하거나, 적용 예정인 Pull Request를 확인하여 패치를 적용해야 합니다.
🔧 검증 코드
명령어 결과에 해당 패키지명이 나타나면 설치된 것이며, 설치된 앱의 버전을 확인하여 0.4.0 이하인지 점검해야 합니다.
adb shell pm list packages | grep com.openclaw.android