🇰🇷 한글 설명
Android용 코드 에디터인 Acode의 특정 버전에서 터미널 서비스가 권한 검증 없이 외부로 노출되어 발생하는 취약점입니다. 악성 앱이 이 서비스를 통해 Acode의 권한을 탈취하여 임의의 명령어를 실행하고 내부 데이터에 접근할 수 있습니다.
💡 쉬운 설명
스마트폰의 코드 편집 앱에 보안 구멍이 있어, 다른 나쁜 앱이 몰래 편집기의 기능을 빌려 명령을 내릴 수 있습니다. 이를 통해 편집기에 저장된 중요한 정보나 파일들이 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Acode is a powerful text and code editor for Android. From 1.11.6 until 1.12.7, com.foxdebug.acode.rk.exec.terminal.TerminalService is declared as an exported service in src/plugins/terminal/plugin.xml without a binding permission, and src/plugins/terminal/src/android/TerminalService.java does not verify the caller. Any installed Android application can bind the service and send MSG_EXEC with an attacker-controlled cmd value, which the terminal implementation passes to ProcessBuilder with sh -c inside Acode's UID. This allows a zero-permission local application to execute commands with access to Acode private data, remote credentials, Storage Access Framework grants, and runtime permissions without additional interaction at attack time. This issue is fixed in version 1.12.7.
📍 영향받는 시스템
Acode 1.11.6 ~ 1.12.7 버전
⚔️ 공격 벡터
권한이 없는 로컬 앱이 노출된 TerminalService에 악성 명령어를 전달하여 실행
🛡️ 대응 방법
Acode를 최신 버전인 1.12.7 이상으로 업데이트
🔧 검증 코드
출력된 versionName이 1.12.7보다 낮으면 취약한 버전이므로 즉시 업데이트가 필요합니다.
adb shell dumpsys package com.foxdebug.acode | grep -E 'versionName'
📊 CVSS Vector String
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
💻 영향받는 소프트웨어
Microsoft Edge for Android