🇰🇷 한글 설명
jiantao88 android-mcp-server의 특정 커밋(cfb872b2446794193b58edd63f4dbf6af48a6292)까지의 버전에서 OS 명령 주입 취약점이 발견되었습니다. build/index.js 파일의 child_process.exec 함수 내 인자값(deviceId, packageName 등)을 조작하여 로컬 호스트에서 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
프로그램이 사용자가 입력한 값을 검증 없이 시스템 명령어로 전달하여 발생하는 보안 문제입니다. 공격자가 입력창에 특수 명령어를 넣어 컴퓨터를 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
A flaw has been found in jiantao88 android-mcp-server up to cfb872b2446794193b58edd63f4dbf6af48a6292. The impacted element is the function child_process.exec of the file build/index.js of the component Command Execution. Executing a manipulation of the argument deviceId/packageName/permission/extras[].key/extras[].value can lead to os command injection. It is possible to launch the attack on the local host. The exploit has been published and may be used. This product implements a rolling release for ongoing delivery, which means version information for affected or updated releases is unavailable. This patch is called 14e2bf27c88ba137e35cbb0c2a75f72b595bb98a. It is advisable to implement a patch to correct this issue.
📍 영향받는 시스템
jiantao88 android-mcp-server (commit cfb872b2446794193b58edd63f4dbf6af48a6292 이하 버전)
⚔️ 공격 벡터
deviceId, packageName, permission, extras 등의 인자값을 조작하여 OS 명령 주입(OS Command Injection) 수행
🛡️ 대응 방법
패치 커밋(14e2bf27c88ba137e35cbb0c2a75f72b595bb98a)을 적용하여 업데이트를 수행하십시오.
🔧 검증 코드
출력된 커밋 해시값이 패치된 커밋(14e2bf27c88ba137e35cbb0c2a75f72b595bb98a) 이후인지 확인하십시오.