CVE 데이터베이스CVE-2024-43093

최종 갱신 2026-06-17English Advisory →

CVE-2024-430937.3/HIGHCISA KEV 등재CWE-176

안드로이드 ExternalStorageProvider 유니코드 정규화 오류로 인한 파일 경로 필터 우회 및 권한 상승 취약점 (CVE-2024-43093)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

google

대상 컴포넌트 / 패키지

android

권고문 발행일

2024-11-13

CVSS v3.1

7.3

HIGH

30일 악용확률

0.7%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

안드로이드 OS의 ExternalStorageProvider 컴포넌트를 사용하는 모바일 디바이스

파급 효과

로컬 공격자가 민감한 시스템 디렉토리에 접근하여 추가적인 실행 권한 없이 로컬 권한 상승(EoP)을 달성할 수 있습니다

권장 조치

구글 안드로이드 2025년 3월 공식 보안 패치를 적용하고, 디바이스 펌웨어를 최신 버전으로 업데이트하십시오

영향받는 제품 및 버전 범위

안드로이드 OS (ExternalStorageProvider 컴포넌트 탑재 버전)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

안드로이드 제조사(OEM) 및 구글에서 배포한 2025년 3월 보안 패치 수준(Security Patch Level) 이상으로 디바이스를 업데이트해야 합니다. 안드로이드 소스 코드(AOSP)를 직접 빌드하는 환경의 경우, 아래와 같이 패치가 적용된 커밋을 반영하여 빌드하십시오:

bash

# Android 플랫폼 프레임워크 베이스 리포지토리로 이동
cd protocols/base

# 구글 공식 패치 커밋 적용 (CVE-2024-43093 수정본)
git fetch https://android.googlesource.com/platform/frameworks/base 7f83c671626f9bf993581f4598c22482d87cba10
git cherry-pick 7f83c671626f9bf993581f4598c22482d87cba10

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

공식 패치 적용이 불가능한 레거시 단말기 또는 임베디드 안드로이드 장비의 경우, MDM(모바일 기기 관리) 솔루션을 통해 신뢰할 수 없는 서드파티 앱 설치를 차단하고, ADB(Android Debug Bridge) 사용을 비활성화하십시오.

bash

# 디바이스에서 ADB 디버깅 비활성화 (임시 조치)
adb shell settings put global adb_enabled 0

# 출처를 알 수 없는 앱 설치 제한 설정
adb shell settings put secure install_non_market_apps 0

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

기기의 보안 패치 날짜를 확인하여 취약 여부를 점검하는 셸 스크립트 예제입니다:

bash

#!/system/bin/sh
# 디바이스의 보안 패치 일자 확인 스크립트
PATCH_DATE=$(getprop ro.build.version.security_patch)
echo '현재 디바이스 보안 패치 일자: ' $PATCH_DATE

# 2025년 3월 패치 적용 여부 비교
YEAR=$(echo $PATCH_DATE | cut -d'-' -f1)
MONTH=$(echo $PATCH_DATE | cut -d'-' -f2)

if [ '$YEAR' -lt 2025 ] || { [ '$YEAR' -eq 2025 ] && [ '$MONTH' -lt 03 ]; }; then
  echo '[경고] 본 디바이스는 CVE-2024-43093 취약점에 노출되어 있습니다. 즉시 업데이트가 필요합니다.'
else
  echo '[안전] 2025년 3월 이후의 보안 패치가 적용되어 있습니다.'
fi

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

CISA KEV에 등재되어 실제 악용이 확인된 취약점이므로, 모든 안드로이드 단말기를 2025년 3월 1일자 이상의 보안 패치 수준으로 즉시 업데이트하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점은 안드로이드 OS의 ExternalStorageProvider.java 내 shouldHideDocument 메서드에서 발생합니다. 해당 메서드는 사용자가 민감한 시스템 디렉토리나 보호된 파일 경로에 접근하는 것을 차단하기 위해 파일 경로 필터링을 수행합니다. 그러나 입력된 파일 경로 문자열에 대해 부적절한 유니코드 정규화(Incorrect Unicode Normalization)를 수행함으로써, 필터링 로직이 우회되는 결함(CWE-176)이 존재합니다. 공격자는 정규화 과정에서 변환되는 특수 유니코드 문자를 악용하여 필터링 대상 경로를 일반 경로처럼 위장한 뒤 시스템 내부에서 우회 처리되도록 유도할 수 있습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 로컬 권한을 가진 악성 애플리케이션을 통해 피해자의 디바이스에서 익스플로잇을 시도합니다. ExternalStorageProvider가 제공하는 문서 선택기(Document Provider) 인터페이스를 호출할 때, 필터링 대상인 민감한 디렉토리(예: Android/data 또는 Android/obb 등)의 경로를 유니코드 정규화 전후가 달라지는 특수 문자로 구성하여 전달합니다. 시스템은 shouldHideDocument 검사 시점에는 해당 경로를 안전한 경로로 판단하여 통과시키지만, 이후 실제 파일 시스템에 접근하는 단계에서 유니코드 정규화가 수행되면서 차단 대상이었던 민감한 디렉토리 경로로 변환됩니다. 이 과정에서 사용자의 상호작용(User Interaction)이 개입되어 권한 허용을 유도할 수 있으며, 최종적으로 권한 상승으로 이어집니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 미 국토안보부 사이버보안 및 인프라 보안국(CISA)의 KEV(Known Exploited Vulnerabilities) 카탈로그에 등재될 만큼 실제 야생(In-the-Wild)에서 악용된 이력이 있는 고위험군 취약점입니다. 성공적으로 악용될 경우, 샌드박스 제한을 우회하여 다른 애플리케이션의 민감한 데이터에 접근하거나 시스템 설정을 임의로 변경할 수 있습니다. 이는 기업 환경 내에서 임직원이 사용하는 안드로이드 단말기를 통해 중요 업무 데이터, 자격 증명(Credentials) 및 개인정보가 유출되는 심각한 보안 사고로 이어질 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

In shouldHideDocument of ExternalStorageProvider.java, there is a possible bypass of a file path filter designed to prevent access to sensitive directories due to incorrect unicode normalization. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is needed for exploitation.

https://android.googlesource.com/platform/frameworks/base/+/7f83c671626f9bf993581f4598c22482d87cba10

출처: security@android.com · Patch

https://source.android.com/security/bulletin/2025-03-01

출처: security@android.com · Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-43093

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · Third Party Advisory, US Government Resource