🇰🇷 한글 설명
jadx는 Dex 파일을 Java로 디컴파일하는 도구입니다. 1.5.2부터 1.5.5까지의 버전에서는 악성 .xapk 파일을 통해 공격자가 제어하는 아카이브 항목 내용을 XAPK 플러그인 임시 압축 해제 디렉터리 외부에 기록할 수 있습니다. 이 경우 플러그인 디렉터리에 악성 JAR가 심어질 수 있으며, 다음 실행 시 해당 코드가 로드되어 실행될 수 있습니다. 1.5.6 버전에서 수정되었습니다.
💡 쉬운 설명
jadx라는 분석 도구에 취약점이 있어, 악성 파일을 열면 공격자가 컴퓨터에 프로그램을 몰래 설치할 수 있습니다. 도구를 다음에 실행할 때 그 악성 프로그램이 자동으로 실행됩니다.
🇺🇸 원문 (English)
jadx is a Dex to Java decompiler. From 1.5.2 to 1.5.5, a malicious .xapk file can cause jadx to write attacker-controlled archive entry contents outside the intended XAPK plugin temporary unpack directory because XApkLoader resolves each entry name directly with tmpDir.resolve(fileName) after a CWD-based ZIP security check. When jadx is launched from a directory that is an ancestor of the config directory, the arbitrary write can plant a JAR in plugins/dropins, and the next jadx run loads the JAR with URLClassLoader and ServiceLoader, executing attacker-controlled plugin code. This issue is fixed in version 1.5.6.
📍 영향받는 시스템
jadx 1.5.2 ~ 1.5.5를 사용하는 모든 운영체제 환경
⚔️ 공격 벡터
악성 .xapk 파일을 jadx로 열어 임의 경로에 JAR 파일을 기록하고, 다음 실행 시 플러그인으로 로드되도록 유도
🛡️ 대응 방법
jadx를 1.5.6 이상 버전으로 업데이트하고, 신뢰할 수 없는 .xapk 파일을 열지 않습니다.
🔧 검증 코드
출력된 버전이 1.5.2~1.5.5이면 취약하며, 1.5.6 이상이면 패치된 상태입니다. 아무것도 출력되지 않으면 jadx가 설치되어 있지 않은 것입니다.
jadx --version 2>/dev/null || (find / -name 'jadx*' -path '*bin*' 2>/dev/null | head -1 | xargs -I{} {} --version 2>/dev/null)