🇰🇷 한글 설명
MobSF 4.5.1 미만 버전의 find_icon_path_zip 함수에서 경로 탐색 취약점이 발견되었습니다. 인증된 사용자가 조작된 ZIP 또는 APK 파일을 업로드하여 서버의 특정 파일을 읽거나 파일 존재 여부를 확인할 수 있습니다.
💡 쉬운 설명
해커가 특수하게 만든 파일을 올리면 서버에 저장된 중요한 파일을 몰래 가져가거나 파일이 있는지 확인할 수 있는 보안 약점입니다. 이 문제는 서버의 파일 경로를 제대로 검사하지 않아 발생합니다.
🇺🇸 원문 (English)
MobSF is a mobile application security testing tool used. Prior to 4.5.1, find_icon_path_zip in mobsf/StaticAnalyzer/views/android/icon_analysis.py uses the Android manifest android:icon value to construct paths under the scan resource directory without rejecting traversal or verifying containment, allowing an authenticated user to upload a crafted ZIP or APK that reads a server file with an ALLOWED_EXTENSIONS suffix, copies it to DWD_DIR as the predictable name -icon., and retrieves it through the /download/ endpoint. The same behavior provides a file-existence oracle through the icon_path report field. This issue is fixed in version 4.5.1.
📍 영향받는 시스템
MobSF version < 4.5.1
⚔️ 공격 벡터
인증된 사용자가 조작된 APK/ZIP 파일을 업로드하여 경로 탐색(Path Traversal) 공격 수행
🛡️ 대응 방법
MobSF를 최신 버전인 4.5.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.5.1보다 낮으면 취약한 상태입니다.
python3 -c "import mobsf; print(mobsf.__version__)" 2>/dev/null || echo 'Version check failed'