개요

• 안드로이드 2.3.3(Gingerbread)이하 버전에서 Content Provider URI를 통해 SD카드에 저장된 정보가 유출되는 취약점에 대한 공격코드 발표[1]
  ※ 해당 취약점은 2010년 11월에 공개됨(CVE-2010-4804)[2]
• 공격자에 의해 악의적으로 제작된 웹페이지에 사용자가 접속할 경우 개인정보 유출, 피싱공격 등의 피해를 입을 수 있음
• 2.3.3(Gingerbread) 버전이하 안드로이드 사용자는 스마트폰 제조사 또는 이통사에 문의하여 최신 운영체제 업데이트 적용 권고

해당 시스템

• 영향 받는 소프트웨어
  - 안드로이드 2.3.3(Gingerbread)이하 버전
• 영향 받지 않는 소프트웨어
  - 안드로이드 2.3.4(Gingerbread)이상 버전

안드로이드 버전확인

• 메인메뉴 → 환경설정 → 휴대폰정보 → 펌웨어버전(안드로이드 버전)
  ※ 갤럭시S, S2 기준

해결방안

• 안드로이드 2.3.3(Gingerbread)이하 버전
  - 해당 스마트폰 제조사 또는 이통사에 문의하여 최신 운영체제 업데이트 적용
  - 운영체제 업데이트가 불가능할 경우 아래의 임시 해결책 적용
  ※ 자바스크립트 사용 체크 해제

용어 정리

• Content Provider URI: 어플리케이션안의 데이터를 다른 어플리케이션에서도 접근이 가능하도록 제공되는 안드로이드 클래스
• 피싱(Phishing) : 신뢰할 만한 사이트, 이메일등 출처로 위장하여 개인정보 유출을 목적으로 피해를 입히는 공격기법

기타 문의사항

• 한국인터넷진흥원 인터넷침해대응센터: 국번없이 118

참고사이트
[1] http://www.securityfocus.com/bid/48256/info
[2] http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-4804
[3] http://thomascannon.net/blog/2010/11/android-data-stealing-vulnerability/
[4] http://www.csc.ncsu.edu/faculty/jiang/nexuss.html