Samsung cihazları için Galaxy Store uygulamasında, etkilenen telefonlarda uzaktan komut yürütülmesini potansiyel olarak tetikleyebilecek, şimdi yamalı bir güvenlik açığı açıklandı.
Galaxy Store 4.5.32.4 sürümünü etkileyen güvenlik açığı, belirli derin bağlantıları işlerken oluşan siteler arası komut dosyası çalıştırma (XSS) hatasıyla ilgilidir. Sorunu bildiren bağımsız bir güvenlik araştırmacısı görevlendirildi.
SSD Secure Disclosure, “Burada, derin bağlantıyı güvenli bir şekilde kontrol etmeyerek, bir kullanıcı derin bağlantıyı içeren bir web sitesinden bir bağlantıya eriştiğinde, saldırgan JS kodunu Galaxy Store uygulamasının web görünümü bağlamında çalıştırabilir” dedi. hafta.
XSS saldırıları, bir web sitesini bir tarayıcıdan veya başka bir uygulamadan ziyaret ederken bir saldırganın kötü amaçlı JavaScript kodu enjekte etmesine ve yürütmesine izin verir.
Galaxy Store uygulamasında tanımlanan sorun, Samsung’un Pazarlama ve İçerik Hizmeti (MCS) için derin bağlantıların nasıl yapılandırıldığıyla ilgilidir ve potansiyel olarak MCS web sitesine rastgele kodun enjekte edilmesinin uygulamanın yürütülmesine yol açabileceği bir senaryoya yol açar.
Bu, bağlantı ziyaret edilirken Samsung cihazına kötü amaçlı yazılım yüklü uygulamaları indirmek ve yüklemek için kullanılabilir.
Araştırmacılar, “Kurbanın sunucusundan başarılı bir şekilde yararlanabilmek için, HTTPS ve CORS’un krom baypasına sahip olması gerekiyor” dedi.