CVE-2024-25466

CVE-2024-25466에 대한 설명

[제안된 설명]
React Native Document Picker의 디렉터리 트래버설 취약점으로, v.9.1.1 이전 버전에 존재하며 v.9.1.1에서 수정되었습니다. 이 취약점으로 인해 로컬 공격자가 조작된 스크립트를 Android 라이브러리 구성 요소에 전달하여 임의 코드를 실행할 수 있습니다.

---

[취약점 유형]
디렉터리 트래버설

---

[제품 공급업체]
https://github.com/rnmods/react-native-document-picker/

---

[영향받는 제품 코드 베이스]
react-native-document-picker Android 라이브러리 - Android용 react-native-document-picker 라이브러리: <9.1.1 버전, 9.1.1에서 수정됨

---

[영향받는 구성 요소]
Android 라이브러리 (정확한 파일: https://github.com/rnmods/react-native-document-picker/blob/0be5a70c3b456e35c2454aaf4dc8c2d40eb2ab47/android/src/main/java/com/reactnativedocumentpicker/RNDocumentPickerModule.java)

---

[공격 유형]
로컬

---

[영향: 코드 실행]
true

---

[영향: 권한 상승]
true

---

[공격 벡터]
이 취약점을 악용하려면 사용자가 파일을 선택할 때 악의적으로 구성된 애플리케이션을 선택해야 합니다.

---

[공급업체가 취약점을 확인했거나 인정했습니까?]
true

---

[참조]
http://react-native-document-picker.com
https://github.com/rnmods/react-native-document-picker/
https://github.com/rnmods/react-native-document-picker/blob/0be5a70c3b456e35c2454aaf4dc8c2d40eb2ab47/android/src/main/java/com/reactnativedocumentpicker/RNDocumentPickerModule.java

---

[CVSSv3]
CVSS v3: (AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:H/A:H): 7.3