В приложении Galaxy Store для устройств Samsung обнаружили уязвимость, которая позволяла удалённо выполнить код на уязвимых смартфонах. Её уже устранили.
Уязвимость затрагивала Galaxy Store версии 4.5.32.4. Она была связана с ошибкой межсайтового скриптинга (XSS) при обработке определённых глубоких ссылок (Deeplink). Веб-сайт обрабатывал параметры abc, def и отображал без кодирования, URL-адрес передавался непосредственно в href. Функции downloadApp и openApp получали идентификатор приложения и загружали его из магазина для открытия.
По данным SSD Secure Disclosure, пользователь получал доступ к ссылке с веб-сайта, содержащего ссылку на контент, а злоумышленник мог выполнить JavaScript-код в контексте веб-просмотра приложения Galaxy Store.
Проблема была связана с настройкой глубоких ссылок для Samsung Marketing & Content Service (MCS). Это могло привести к выполнению произвольного кода, введённого на веб-сайте MCS. При переходе по ссылке хакер мог установить на смартфон жертвы дропперы. Однако, чтобы получить возможность успешно использовать сервер жертвы, требовалось, чтобы HTTPS и CORS обходили Chrome.
Ранее пользователям уже порекомендовали не устанавливать на устройства приложения, если их происхождение неизвестно, не подключаться к публичным точкам доступа и открытым сетям Wi-Fi, использовать двухфакторную аутентификацию и отказаться от одинаковых паролей для разных сервисов.
