fix(receiver): 수신 추억 노트 상세가 영상 URL 을 스킴 검증 없이 ACTION_VIEW 로 실행 — 발신자발 위험 스킴이 수신자 기기에서 발화 #1394

작업 유형

security — 보안 취약점·권한·자격·공급망 대응

주 담당 모듈

receiver — 수신자 관리

개요

수신자 추억 노트 상세(MemorialReceivedDetailScreen.kt L176-L192)가 서버가 준 memorialVideoUrl 을 스킴 검증 없이 Intent(ACTION_VIEW, memorialVideoUrl.toUri()) 로 실행한다. PackageManager.resolveActivity 체크는 처리 앱 존재 확인일 뿐 스킴 가드가 아니다.

cross-user 벡터인 근거 — 서버는 저장값이 관리 스토리지 키가 아니면 원문 그대로 반환한다 (BE S3Service.generateGetPresignedUrl L197-L208, 비관리 값은 L204 에서 rawUrlOrKey 그대로). 즉 발신자(또는 발신자 계정을 쥔 공격자)가 API 로 임의 문자열을 심으면 tel:·market:·타 앱 딥링크 등 발신자발 위험 스킴이 수신자 기기에서 암시적 VIEW 인텐트로 발화한다. 같은 결함의 작성자 화면 판은 #463 범위에서 PR #1336 이 수정 중이고, 수신자 화면은 남의 입력을 여는 쪽이라 위험이 더 크다.

부수 결함 — resolveActivity 사전 조회는 Android 11+ package visibility 에서 처리 가능한 앱이 있어도 null 이 나와 멀쩡한 URL 에 «앱 없음» 오탐 안내를 낼 수 있다 (PR #1336 이 작성자 쪽을 «직접 시도 후 예외 처리»로 바꾼 이유와 동일, #1391 건 3 도 같은 판정).

완료 조건 — PR #1336 의 launchMemorialVideo 가드 패턴을 수신자 화면에 이식한다:

• 공백 검사 + http/https(ignoreCase) 스킴 + host 비어있지 않음 검증, 불합격이면 실행하지 않고 안내
• resolveActivity 사전 조회 제거 → startActivity 직접 시도 + ActivityNotFoundException·SecurityException·IllegalArgumentException 처리
• MemorialVideoLauncherTest 대응 단위 테스트 추가

자식 이슈

No response

참고

• PR fix(afternote): 추억 노트 상세 기본 상호작용 보완 (#463) #1336 은 미머지이고 launchMemorialVideo 는 afternote 모듈 internal 이라 코드 공유 없이 패턴만 이식한다. 공유 승격은 refactor(core): 추모 영상 실행 가드가 발신자·수신자 2벌 — 37줄 문자 단위 동일본을 core:common 으로 승격 #1436 으로 분리 발행됐다 (2026-08-29) — 두 함수 본문이 37줄 문자 단위로 동일함을 확인했고, PR fix(afternote): 추억 노트 상세 기본 상호작용 보완 (#463) #1336 · fix(receiver): 수신 추억 노트 상세 영상 실행에 http/https 스킴 가드 이식 (#1394) #1395 가 둘 다 머지된 뒤 core:common 으로 올린다. 원래 위임처였던 refactor(receiver): android.widget.Toast 잔여 3건 제거 — 서버 실패 2건은 #446 체계 합류, 영상 앱 없음 안내는 Snackbar·리소스화 #1391 건 3 은 Toast 제거(refactor) 이슈라 완료 조건에 승격이 없어 실행 주체가 없었다.
• refactor(receiver): android.widget.Toast 잔여 3건 제거 — 서버 실패 2건은 #446 체계 합류, 영상 앱 없음 안내는 Snackbar·리소스화 #1391 건 3 과 같은 코드 지점을 만진다. 경계: 이 이슈는 보안 가드 + 직접 시도 정합화까지. Toast→Snackbar 전환·문구 리소스화·표출 Compose 테스트는 refactor(receiver): android.widget.Toast 잔여 3건 제거 — 서버 실패 2건은 #446 체계 합류, 영상 앱 없음 안내는 Snackbar·리소스화 #1391 잔여로 남긴다 (안내 채널·문구는 현행 유지).
• 화면 도입 이력: feat(afternote): 수신자 MEMORIAL 카테고리 detail wire-up — prototype dispatcher 연결 #274.