Samsung Galaxy Store App anfällig für betrügerische App-Installationen und Betrug

​

n Samsungs Galaxy Store-App für Android wurden zwei Sicherheitslücken entdeckt, die von einem lokalen Angreifer ausgenutzt werden könnten, um heimlich beliebige Apps zu installieren oder potenzielle Opfer auf betrügerische Zielseiten im Internet zu leiten.

Die Schwachstellen mit den Bezeichnungen CVE-2023-21433 und CVE-2023-21434 wurden von der NCC Group entdeckt und dem südkoreanischen Chaebol im November und Dezember 2022 gemeldet. Samsung stufte die Fehler als mäßiges Risiko ein und veröffentlichte Korrekturen in Version 4.5.49.8, die Anfang dieses Monats ausgeliefert wurde.

Der Samsung Galaxy Store, früher bekannt als Samsung Apps und Galaxy Apps, ist ein spezieller App-Store für Android-Geräte von Samsung. Er wurde im September 2009 eingeführt.

Bei der ersten der beiden Sicherheitslücken handelt es sich um CVE-2023-21433, die es einer bereits installierten bösartigen Android-App auf einem Samsung-Gerät ermöglichen könnte, jede im Galaxy Store verfügbare Anwendung zu installieren.

Samsung beschrieb die Schwachstelle als einen Fall von unsachgemäßer Zugriffskontrolle, die nach eigenen Angaben mit den richtigen Berechtigungen gepatcht wurde, um unbefugten Zugriff zu verhindern.

Es ist erwähnenswert, dass die Schwachstelle nur Samsung-Geräte betrifft, auf denen Android 12 und früher läuft, und nicht diejenigen, die mit der neuesten Version (Android 13) arbeiten.

Die zweite Schwachstelle, CVE-2023-21434, bezieht sich auf eine unsachgemäße Eingabevalidierung, die bei der Begrenzung der Liste der Domänen auftritt, die von der App aus als WebView gestartet werden können. Dies ermöglicht es einem Bedrohungsakteur, den Filter zu umgehen und eine Domäne unter seiner Kontrolle zu besuchen.

"Das Tippen auf einen bösartigen Hyperlink in Google Chrome oder eine vorinstallierte Schurkenanwendung auf einem Samsung-Gerät kann Samsungs URL-Filter umgehen und einen WebView zu einer von einem Angreifer kontrollierten Domain starten", so Ken Gannon, Forscher der NCC Group.

Das Update kommt zu einem Zeitpunkt, an dem Samsung Sicherheitsupdates für den Monat Januar 2023 veröffentlicht hat, um mehrere Schwachstellen zu beheben, von denen einige ausgenutzt werden können, um Parameter des Betreibernetzwerks zu ändern, BLE-Werbung ohne Erlaubnis zu steuern und die Ausführung von beliebigem Code zu erreichen.