CVE 데이터베이스CVE-2023-35674

최종 갱신 2026-06-17English Advisory →

CVE-2023-356747.8/HIGHCISA KEV 등재CWE-269

안드로이드 WindowState.java 로직 오류로 인한 로컬 권한 상승 및 백그라운드 액티비티 실행 취약점 (CVE-2023-35674) 분석 및 대응 가이드

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

google

대상 컴포넌트 / 패키지

android

권고문 발행일

2023-09-11

CVSS v3.1

7.8

HIGH

30일 악용확률

2.6%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

안드로이드 운영체제(Android OS) 시스템 프레임워크

파급 효과

로컬 공격자가 추가적인 실행 권한이나 사용자 상호작용 없이 백그라운드에서 임의의 액티비티를 강제로 실행하여 로컬 권한을 상승시킬 수 있습니다

권장 조치

구글 안드로이드 2023년 9월 공식 보안 패치 또는 최신 시스템 업데이트를 즉시 적용하십시오

영향받는 제품 및 버전 범위

안드로이드 OS (구글 2023년 9월 보안 패치 레벨 이전 버전의 기기)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

안드로이드 기기 제조사에서 제공하는 최신 시스템 업데이트를 적용해야 합니다. 2023년 9월 1일 이후의 보안 패치 수준(Security Patch Level)이 적용되었는지 확인하십시오.

안드로이드 에뮬레이터 또는 개발자 환경(AOSP 빌드)을 사용하는 경우, 아래 명령어를 통해 소스 트리를 동기화하고 패치가 포함된 빌드로 업데이트하십시오:

bash

# AOSP 소스 디렉토리로 이동
cd /path/to/android/aosp

# 최신 보안 패치가 포함된 브랜치로 동기화
repo init -u https://android.googlesource.com/platform/manifest -b android-13.0.0_r74
repo sync -c -j$(nproc)

# 빌드 환경 초기화 및 타겟 빌드 실행
source build/envsetup.sh
lunch aosp_arm64-userdebug
make -j$(nproc)

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

공식 패치 적용이 불가능한 레거시 기기 또는 특수 목적 단말의 경우, 인가되지 않은 앱 설치를 원천 차단하고 ADB(Android Debug Bridge) 포트를 비활성화해야 합니다.

bash

# 기기에 연결된 ADB 상태에서 알 수 없는 소스(Unknown Sources)로부터의 앱 설치 차단
adb shell settings put secure install_non_market_apps 0

# 백그라운드 프로세스 제한을 강화하여 비정상적인 백그라운드 액티비티 실행 억제
adb shell settings put global max_cached_processes 8

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

기기의 보안 패치 날짜를 확인하고, 시스템 로그(logcat)에서 백그라운드 액티비티 강제 실행 시도 흔적을 모니터링하는 스크립트입니다.

bash

#!/bin/bash
echo '[+] 안드로이드 기기 보안 패치 수준 확인 중...'
PATCH_LEVEL=$(adb shell getprop ro.build.version.security_patch)
echo "현재 보안 패치 일자: $PATCH_LEVEL"

# 2023-09-01 이전 버전인 경우 경고 출력
if [[ '$PATCH_LEVEL' < '2023-09-01' ]]; then
  echo '[WARNING] 이 기기는 CVE-2023-35674 취약점에 노출되어 있습니다. 패치가 필요합니다.'
else
  echo '[OK] 취약점이 해결된 패치 버전이 적용되어 있습니다.'
fi

echo '[+] WindowState 관련 비정상 백그라운드 액티비티 실행 로그 감시 시작...'
# WindowState 생성 및 백그라운드 시작 거부 관련 예외 로그 필터링
adb logcat | grep -E 'WindowState|Background activity start|Permission Denial'

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

CISA KEV 등재 취약점이므로, 안드로이드 단말의 보안 패치 수준을 즉시 2023-09-01 이후 버전으로 업데이트하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2023-35674)은 안드로이드 시스템 프레임워크의 WindowState.java 소스코드 내 onCreate 메서드에서 발생하는 로직 오류로 인해 유발됩니다. 안드로이드 OS는 백그라운드 앱이 사용자의 동의 없이 포그라운드로 전환되거나 임의의 액티비티를 시작하는 것을 방지하는 엄격한 백그라운드 액티비티 시작 제한(Background Activity Start Restrictions) 정책을 가지고 있습니다. 그러나 WindowState 초기화 과정에서 발생한 로직 결함으로 인해 이 제한 메커니즘이 우회되어, 백그라운드 상태의 악성 애플리케이션이 임의의 액티비티를 강제로 실행할 수 있는 취약점이 존재합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 대상 기기에 권한이 낮은 일반 악성 애플리케이션을 설치한 후 이 취약점을 악용합니다. 일반적인 상황에서는 백그라운드 앱이 액티비티를 시작하려고 하면 시스템에 의해 차단되지만, 공격자는 WindowState 생성 시점의 로직 허점을 트리거하여 시스템 권한 컨텍스트에서 액티비티가 실행되도록 유도합니다. 이 과정에서 사용자의 어떠한 터치나 승인(User Interaction)도 필요하지 않으며, 공격자는 이를 통해 민감한 시스템 설정 화면을 띄우거나 권한이 높은 시스템 컴포넌트를 호출하여 최종적으로 로컬 권한 상승(LPE)을 달성하게 됩니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 미 국토안보부 사이버보안 및 인프라 보안국(CISA)의 KEV(Known Exploited Vulnerabilities) 목록에 등재될 만큼 실제 야생(In-the-Wild)에서 적극적으로 악용된 고위험군 취약점입니다. 기업 환경에서 임직원이 사용하는 안드로이드 모바일 기기가 이 취약점에 노출될 경우, MDM(모바일 기기 관리) 솔루션의 통제를 우회하여 기업 내부망 자격 증명 탈취, 기기 내 기밀 문서 유출, 또는 추가적인 악성코드 설치로 이어질 수 있어 비즈니스 연속성에 심각한 위협을 초래합니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

In onCreate of WindowState.java, there is a possible way to launch a background activity due to a logic error in the code. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.

https://android.googlesource.com/platform/frameworks/base/+/7428962d3b064ce1122809d87af65099d1129c9e

출처: security@android.com · Patch

https://source.android.com/security/bulletin/2023-09-01

출처: security@android.com · Patch, Vendor Advisory

https://android.googlesource.com/platform/frameworks/base/+/7428962d3b064ce1122809d87af65099d1129c9e

출처: af854a3a-2127-422b-91ae-364da2661108 · Patch

https://source.android.com/security/bulletin/2023-09-01

출처: af854a3a-2127-422b-91ae-364da2661108 · Patch, Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-35674

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · Third Party Advisory, US Government Resource