🇰🇷 한글 설명
WindowState.java의 getTouchOcclusionMode 함수에 태핑재킹(tapjacking) 및 오버레이 공격과 관련된 취약점이 존재합니다. 이 취약점을 악용하면 추가 실행 권한 없이 로컬 정보가 노출될 수 있습니다. 공격을 위해서는 사용자 상호작용이 필요합니다.
💡 쉬운 설명
악성 앱이 다른 앱 위에 투명한 화면을 겹쳐 사용자가 의도하지 않은 터치를 하도록 유도할 수 있습니다. 이를 통해 기기 내부의 정보가 몰래 노출될 위험이 있습니다.
🇺🇸 원문 (English)
In getTouchOcclusionMode of WindowState.java, there is a possible tapjacking issue due to a tapjacking/overlay attack. This could lead to local information disclosure with no additional execution privileges needed. User interaction is needed for exploitation.
📍 영향받는 시스템
Android 시스템 프레임워크(WindowState.java)를 포함하는 해당 보안 패치 이전 Android 버전
⚔️ 공격 벡터
사용자가 설치한 악성 앱이 투명 오버레이를 띄워 사용자 터치를 가로채고 로컬 정보 노출을 유도하는 방식(사용자 상호작용 필요)
🛡️ 대응 방법
Android 보안 패치(2026년 해당 월 보안 업데이트)를 적용하고, 출처가 불분명한 앱 설치를 피하며 오버레이 권한을 제한합니다.
🔧 검증 코드
출력된 보안 패치 날짜(예: 2026-06-01)가 CVE 수정 이후 날짜인지 확인하면 되며, 해당 날짜가 수정 패치 날짜보다 이전이면 취약할 수 있습니다.
getprop ro.build.version.security_patch
📊 CVSS Vector String
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
Storage Protect Snapshot for Windows