Samsung Galaxy Store App Found Vulnerable to Sneaky App Installs and Fraud
2023/01/23 TheHackerNews — Samsung の Galaxy Store App にセキュリティ欠陥が存在し、ローカル攻撃者による任意のアプリのインストールや、Web 上の不正なランディング・ページへの誘導などが可能なことが判明した。NCC Group が発見した、脆弱性 CVE-2023-21433／CVE-2023-21434 は、2022年11月／12月の時点で Samsung に通知されている。同社は、これらのバグを Medium のリスクとして分類し、2023年1月初めに出荷された、バージョン 4.5.49.8 で対応している。
Samsung Galaxy Store は、Samsung Apps／Galaxy Apps として知られていた、Samsung の Android デバイスのための専用アプリ・ストアであり、2009年9月から運用されている。
１つ目の脆弱性 CVE-2023-21433 は、Samsung 製端末にインストール済の不正な Android アプリから、Galaxy Store へ向けて任意のアプリのインストールを可能にするものだ。
Samsung は、この脆弱性を不適切なアクセス制御のケースと説明しており、不正なアクセスを防止するための適切なアクセス許可を与える、パッチを適用したと述べている。この欠陥は、Android 12 以前を搭載している Samsung デバイスに対してののみ影響し、最新バージョンである Android 13 デバイスには影響が生じないとのことだ。
２つ目の脆弱性 CVE-2023-21434 は、アプリ内から WebView として起動できるドメインのリストを制限する際に発生する、不適切な入力検証に関するものだ。その悪用に成功した脅威アクターによりフィルターが回避され、悪意のドメインへの誘導が可能になるという。
NCC Group の研究者である Ken Gannon は、「Google Chrome で悪意のハイパー・リンクをタップした場合と、Samsung デバイスにプリインストールされた不正なアプリをタップした場合に、Samsung の URLフィルターがバイパスされ、攻撃者がコントロールするドメインへのリダイレクトが発生する可能性がある」と述べている。
今回のアップデートは、2023年1月に複数の欠陥を修正するために展開された、Samsung セキュリティ・アップデートを伴うものとなっている。それらの欠陥には、キャリア・ネットワークのパラメータ変更や、BLE 広告の無断制御、任意のコード実行などの脆弱性が含まれていいる。
Samsung のデバイスを使ったことがないので、同社における Galaxy Store と Google Play の位置づけが分かりませんが、使っている方も多いかと思います。この記事を読む限り、アップデートを急いだしょうが、良さそうな感じです。なお、脆弱性 CVE-2023-21433／CVE-2023-21434 を調べましたが、追加できる情報は見つかりませんでした。
IoT OT Security News 
You must be logged in to post a comment.