CVE-2015-6606 검증을 위한 간단한 익스플로잇

이것은 SEEK 스마트카드 서비스 버전 3.1.0 이하에 존재하는 코드 인젝션 취약점(CVE-2015-6606, Google 내부 버그 번호 ANDROID-22301786)을 검증하기 위한 간단한 익스플로잇입니다. 이 취약점을 통해 특수하게 제작된 Android 애플리케이션 패키지가 스마트카드 시스템 서비스의 실행 컨텍스트에 임의의 코드를 주입할 수 있습니다. 이 코드는 해당 시스템 서비스에 부여된 모든 권한을 상속받으며, 여기에는 일반적으로 서드파티 앱에 부여되지 않는 signature-or-system 권한도 포함됩니다.

자세한 내용은 보고서 Executing Arbitrary Code in the Context of the Smartcard System Service에서 확인할 수 있습니다(아래 문헌 섹션 참조).

면책 조항

이 애플리케이션은 사용자의 책임 하에 사용해야 합니다. 당사는 이 애플리케이션으로 인해 발생한 어떠한 손해, 잘못된 사용 또는 이 설명서의 부정확성에 대해서도 책임지지 않습니다.

문헌

• CVE-2015-6606
• Google: Nexus Security Bulletin - October 2015
• M. Roland: "Executing Arbitrary Code in the Context of the Smartcard System Service," arXiv:1601.05833 [cs.CR], Computing Research Repository (CoRR), arXiv.org/corr, University of Applied Sciences Upper Austria, JR-Center u'smile, January 2016.
• M. Roland and M. Hlzl: "Open Mobile API: Accessing the UICC on Android Devices," arXiv:1601.03027 [cs.CR], Computing Research Repository (CoRR), arXiv.org/corr, University of Applied Sciences Upper Austria, JR-Center u'smile, January 2016.

License: GNU General Public License v3.0