Компания NCC Group обнаружила в приложении Samsung Galaxy Store две уязвимости, которые могут быть использованы для скрытой установки приложений или направления устройств пользователей на целевые страницы мошенников в интернете.
Уязвимости с идентификаторами CVE-2023-21433 и CVE-2023-21434 были найдены в ноябре и декабре 2022 года. Компания сразу же сообщила Samsung об их наличии. Сам южнокорейский конгломерат посчитал их уязвимостями с умеренным риском, и в версии 4.5.49.8 исправил их.
Первая из уязвимостей с идентификатором CVE-2023-21433 позволяла уже установленному мошенническому приложению Android на Samsung поставить на устройство любое другое приложение, которое есть в магазине. В южнокорейской компании описали это как «случай ненадлежащего контроля доступа» — специалисты Samsung утверждают, что исправили уязвимость с соответствующими разрешениями для предотвращения доступа. При этом CVE-2023-21433 затрагивает только девайсы Samsung, которые работали под управлением Android 12 и более ранних версий — в Android 13 уязвимость неактуальна.
Вторая уязвимость, CVE-2023-21434, возникает при ограничении списка доменов, которые могут быть запущены в веб-представлении из приложения. При переходе по вредоносной ссылке из браузера Google Chrome или уже предустановленного мошеннического приложения возможен обхода фильтра URL-адресов. В таком случае злоумышленники могут заставить устройство открыть веб-просмотр контролируемого ими домена.
