🇰🇷 한글 설명
3.7.0 미만 버전의 VideoLAN VLC for Android에서 원격 접속 서버 기능의 OTP 검증 시 속도 제한이 부족하여 인증 우회가 발생합니다. 공격자는 네트워크를 통해 4자리 OTP를 무차별 대입하여 유효한 세션 쿠키를 획득하고 공유된 미디어 파일에 무단 접근할 수 있습니다.
💡 쉬운 설명
VLC 앱의 원격 접속 기능에서 비밀번호(OTP)를 입력할 때 틀려도 제한 없이 계속 시도할 수 있는 보안 약점이 있습니다. 이를 통해 해커가 번호를 무작위로 찍어서 맞춘 뒤 사용자의 동영상을 몰래 볼 수 있습니다.
🇺🇸 원문 (English)
VideoLAN VLC for Android prior to version 3.7.0 contains an authentication bypass in the Remote Access Server feature due to missing or insufficient rate limiting on one-time password (OTP) verification. The Remote Access Server uses a 4-digit OTP and does not enforce effective throttling or lockout within the OTP validity window, allowing an attacker with network reachability to the server to repeatedly attempt OTP verification until a valid user_session cookie is issued. Successful exploitation results in unauthorized access to the Remote Access interface, limited to media files explicitly shared by the VLC for Android user.
📍 영향받는 시스템
VideoLAN VLC for Android 3.7.0 미만 버전
⚔️ 공격 벡터
네트워크를 통한 4자리 OTP 무차별 대입 공격 (Brute-force)
🛡️ 대응 방법
VLC for Android를 최신 버전(3.7.0 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 versionName이 3.7.0보다 낮은지 확인하십시오.
adb shell dumpsys package org.videolan.vlc | grep versionName
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
Microsoft Edge for Android