canyie/cve-2024-23700CVE-2024-23700용 PoC — Android 무단 권한 상승(silent privilege escalation)으로 연락처, SMS, 캘린더, 통화 기록 및 음성 사서함 읽기/쓰기, 발신 전화 걸기 또는 수신 전화 받기, 통화 설정 조작, 다른 앱이 보낸 알림 접근 및 제어, 주변 기기 제어, 오디오 녹음, 기기 식별자 접근, 백그라운드 제한 우회를 허용합니다.
PoC for CVE-2024-23700, 취약점을 통해 사용자 상호작용 없이 연락처, SMS, 캘린더, 통화 기록 및 음성사서함에 대한 읽기/쓰기 권한을 조용히 획득하고, 발신 전화 걸기 또는 수신 전화 받기, 통화 설정 조작, 다른 앱이 보낸 알림 접근 및 제어, 주변 기기 제어, 오디오 녹음을 위한 마이크 접근, 기기 식별자 접근, 백그라운드 제한 우회가 가능합니다. 이는 악성 앱이 사용자 상호작용 없이 컴패니언 디바이스(companion device) 연결을 설정할 수 있게 하는 권한 상승 취약점을 통해 이루어집니다.
Android 보안 심각도: Critical
이 악용 코드는 "최적화"의 잠재적 위험에 대해 geek 사용자에게 경고하기 위해 만들어졌습니다. 배경: 일부 사용자는 "쓸모없는" 시스템 앱을 제거하면 공격 표면을 줄여 보안이 향상될 것이라고 믿었습니다. 다른 사용자들은 비공식 앱 설치와 같은 더 유연한 사용을 허용하기 위해 일부 모듈로 서명 검증을 비활성화했습니다. 일부 모듈 개발자는 이러한 위험한 기능을 기본적으로 활성화했습니다.
사전 빌드된 PoC 앱 다운로드: https://github.com/canyie/CVE-2024-23700/releases
여러 위험한 권한을 조용히 획득하고 기기 알림을 읽는 데모 화면 녹화: https://github.com/canyie/CVE-2024-23700/blob/main/screen-20260120-233400-1768923180588.mp4
제공된 PoC 앱이 기기에 설치되지 않으면 해당 기기는 이 취약점에 영향을 받지 않는 것입니다.
대부분의 기기는 다음에 해당하지 않는 한 취약하지 않아야 합니다:
