In Samsungs Galaxy Store App für Android wurden zwei Sicherheitslücken entdeckt, die von einem lokalen Angreifer ausgenutzt werden können, um heimlich beliebige Apps zu installieren oder potenzielle Opfer auf betrügerische Seiten im Internet zu leiten.
Die Schwachstellen mit den Kennungen CVE-2023-21433 und CVE-2023-21434 wurden von der NCC Group entdeckt und dem südkoreanischen Konzern im November und Dezember 2022 gemeldet. Samsung stufte die Fehler als mittleres Risiko ein und veröffentlichte Anfang des Monats Korrekturen in der Version 4.5.49.8.
Der Samsung Galaxy Store, früher bekannt als Samsung Apps und Galaxy Apps, ist ein spezieller App-Store für Android-Geräte von Samsung. Er wurde im September 2009 eingeführt.
Bei der ersten der beiden Schwachstellen handelt es sich um CVE-2023-21433, die es einer bereits installierten bösartigen Android-App auf einem Samsung-Gerät ermöglichen könnte, jede im Galaxy Store verfügbare Anwendung zu installieren.
Samsung beschrieb die Sicherheitslücke als einen Fall von unsachgemäßer Zugriffskontrolle und gab an, dass sie mit den richtigen Berechtigungen gepatcht wurde, um unbefugten Zugriff zu verhindern.
Es ist erwähnenswert, dass die Schwachstelle nur Samsung-Geräte betrifft, die mit Android 12 und früher laufen, und nicht diejenigen, die mit der neuesten Version (Android 13) arbeiten.
Die zweite Schwachstelle, CVE-2023-21434, bezieht sich auf eine nicht ordnungsgemäße Eingabevalidierung bei der Einschränkung der Liste der Domänen, die als WebView aus der App heraus aufgerufen werden können, so dass ein Bedrohungsakteur den Filter umgehen und eine von ihm kontrollierte Domäne aufrufen kann.
„Das Tippen auf einen bösartigen Hyperlink in Google Chrome oder eine vorinstallierte Schurkenanwendung auf einem Samsung-Gerät kann Samsungs URL-Filter umgehen und einen Webview zu einer von einem Angreifer kontrollierten Domain starten“, sagte Ken Gannon, Forscher der NCC Group.
Das Update kommt zu einem Zeitpunkt, an dem Samsung Sicherheitsupdates für den Monat Januar 2023 veröffentlicht hat, um mehrere Schwachstellen zu beheben, von denen einige ausgenutzt werden können, um Parameter des Betreibernetzwerks zu verändern, BLE-Werbung ohne Erlaubnis zu steuern und beliebigen Code auszuführen.