CVE 데이터베이스CVE-2021-38000

최종 갱신 2026-06-17English Advisory →

CVE-2021-380006.1/MEDIUMCISA KEV 등재CWE-601CWE-20CWE-601

안드로이드용 구글 크롬 Intent 입력값 검증 미흡으로 인한 임의 URL 리다이렉션 취약점 (CVE-2021-38000, CISA KEV 등재)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

google

대상 컴포넌트 / 패키지

chrome

권고문 발행일

2021-11-23

CVSS v3.1

6.1

MEDIUM

30일 악용확률

5.0%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

95.0.4638.69 미만 버전의 안드로이드용 구글 크롬(Google Chrome on Android)

파급 효과

원격의 공격자가 조작된 HTML 페이지를 통해 사용자의 브라우저를 악성 URL로 강제 이동시켜 피싱 및 추가 악성코드 다운로드 유도 가능

권장 조치

안드로이드 구글 플레이 스토어를 통해 크롬 브라우저를 최신 버전(95.0.4638.69 이상)으로 즉시 업데이트

영향받는 제품 및 버전 범위

안드로이드 운영체제(Android OS)에서 동작하는 구글 크롬(Google Chrome) 95.0.4638.69 미만 모든 버전

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

안드로이드 기기에서 구글 플레이 스토어를 통해 크롬 브라우저를 최신 버전으로 업데이트해야 합니다. MDM(모바일 기기 관리) 솔루션을 사용하는 기업 환경에서는 아래의 ADB 명령어를 사용하여 임직원 기기의 크롬 버전을 강제로 확인하고 업데이트를 유도할 수 있습니다.

bash

# 연결된 안드로이드 기기의 크롬 브라우저 패키지 버전 확인
adb shell dumpsys package com.android.chrome | grep versionName

# 크롬 브라우저 강제 중지 및 플레이 스토어의 크롬 업데이트 페이지로 이동
adb shell am force-stop com.android.chrome
adb shell am start -a android.intent.action.VIEW -d 'market://details?id=com.android.chrome'

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 업데이트가 어려운 경우, 모바일 브라우저 내에서 신뢰할 수 없는 외부 링크 및 팝업 차단 설정을 강화해야 합니다. 또한 사내 DNS 서버 또는 방화벽에서 알려진 악성 Intent 리다이렉션 도메인 및 피싱 사이트에 대한 아웃바운드 연결을 차단하십시오.

bash

# 사내 DNS 서버(BIND9 등)에서 악성 리다이렉션 의심 도메인 차단 설정 예시
# /etc/bind/named.conf.local 파일에 아래 설정 추가
zone 'suspicious-intent-redirect.com' {
    type master;
    file '/etc/bind/db.blocked';
};

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

안드로이드 기기에서 크롬 브라우저의 디버그 로그를 수집하여 비정상적인 Intent 호출 흔적이 있는지 점검합니다.

bash

# adb logcat을 사용하여 크롬의 Intent 처리 관련 경고 및 에러 로그 실시간 모니터링
adb logcat | grep -E 'IntentResolver|ChromeTabbedActivity|Redirect'

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

본 취약점은 실제 공격에 악용된 이력이 있으므로, 안드로이드 기기의 구글 크롬 브라우저를 즉시 95.0.4638.69 이상 버전으로 업데이트하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2021-38000)은 안드로이드용 구글 크롬 브라우저의 Intent 처리 메커니즘에서 신뢰할 수 없는 입력값에 대한 검증이 미흡하여 발생합니다. 안드로이드 OS는 애플리케이션 간 상호작용을 위해 Intent 구조를 사용하며, 웹 브라우저 내에서 'intent://' 스키마를 통해 외부 앱을 호출하거나 특정 웹 페이지로 리다이렉트할 수 있습니다. 크롬 브라우저가 이 Intent 파라미터를 파싱하는 과정에서 입력값 검증(CWE-20) 및 오픈 리다이렉션 방어(CWE-601) 로직이 누락되어, 공격자가 의도한 임의의 악성 URL로 브라우저 세션을 강제 전환할 수 있는 취약점이 존재합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 특수하게 제작된 HTML 페이지를 구성하고, 그 내부에 악성 Intent 스키마 링크나 스크립트를 삽입합니다. 사용자가 이 악성 웹 페이지에 방문하면, 브라우저는 사용자 동의 없이 또는 정상적인 서비스 이동으로 위장하여 'intent://' 프로토콜을 해석합니다. 이때 Intent 내부에 포함된 리다이렉션 대상 URL(S.browser_fallback_url 등)이 공격자가 제어하는 악성 도메인으로 설정되어 있을 경우, 크롬 브라우저는 이를 정상적인 경로로 신뢰하고 사용자를 해당 악성 사이트로 강제 이동시킵니다. 이 과정에서 사용자는 주소창의 변화를 인지하기 어려워 피싱 공격에 쉽게 노출됩니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 실제 야생에서 악용된 사례가 확인되어 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재된 고위험군 취약점입니다. 기업 환경에서 임직원이 모바일 기기를 통해 이 취약점에 노출될 경우, 신뢰할 수 있는 내부 시스템(예: 그룹웨어, VPN 로그인 페이지)으로 위장한 피싱 사이트에 자격 증명(Credential)을 탈취당할 수 있습니다. 또한 드라이브 바이 다운로드(Drive-by Download) 공격과 결합되어 모바일 악성코드가 기기에 설치될 경우, 기업 내부망 침투의 교두보로 악용될 수 있어 비즈니스 연속성에 심각한 위협을 초래합니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Insufficient validation of untrusted input in Intents in Google Chrome on Android prior to 95.0.4638.69 allowed a remote attacker to arbitrarily browser to a malicious URL via a crafted HTML page.

https://chromereleases.googleblog.com/2021/10/stable-channel-update-for-desktop_28.html

출처: chrome-cve-admin@google.com · Release Notes

https://crbug.com/1249962

출처: chrome-cve-admin@google.com · Exploit, Issue Tracking

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/3W46HRT2UVHWSLZB6JZHQF6JNQWKV744/

출처: chrome-cve-admin@google.com · Release Notes

https://www.debian.org/security/2022/dsa-5046

출처: chrome-cve-admin@google.com · Mailing List, Third Party Advisory

https://chromereleases.googleblog.com/2021/10/stable-channel-update-for-desktop_28.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Release Notes

https://crbug.com/1249962

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Issue Tracking

자주 묻는 실무 질문 (FAQ — CVE-2021-38000)

FAQ

Q1. CVE-2021-38000 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2021-38000의 기본 점수는 CVSS 6.1 (MEDIUM)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 5.0%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.