реклама
Новости Software

Samsung закрыла две уязвимости в Galaxy App Store — они позволяли тайно устанавливать приложения и исполнять вредоносный код

В конце декабря минувшего года эксперты по кибербезопасности NCC Group обнаружили уязвимости в магазине приложений Samsung Galaxy App Store и предупредили об этом производителя. 1 января компания выпустила обновлённую версию клиента (4.5.49.8), и теперь исследователи опубликовали технические подробности инцидента.

 Источник изображения: Gerd Altmann / pixabay.com

Источник изображения: Gerd Altmann / pixabay.com

Первая уязвимость получила обозначение CVE-2023-21433 — она касается ненадлежащего контроля доступа и позволяет устанавливать на устройство жертвы произвольные приложения. Вторая зарегистрирована за номером CVE-2023-21434 — она характеризуется как уязвимость неправильной проверки кода и позволяет выполнять на целевом устройстве вредоносный код JavaScript.

Для эксплуатации первой уязвимости необходим локальный доступ к устройству жертвы, но, как утверждают специалисты, для опытных злоумышленников это не проблема. В качестве демонстрации исследователи показали, как в обход владельца установить на гаджет игровое приложение Pokemon Go, хотя хакеры могли бы выбрать и нечто более опасное. Уязвимости не подвержены устройства под управлением Android 13 даже в сочетании с устаревшим клиентом магазина, но на практике это пока не очень поможет: по данным аналитики AppBrain, только 7 % всех Android-устройств управляются последней версией платформы, а неподдерживаемые версии системы (Android 9.0 и старше) удерживают 27 % рынка.

Вторая уязвимость касается работы webview-компонента (встроенного браузера) Galaxy App Store — он поддерживает ограниченное число доменных имён. Но до исправления уязвимости фильтр был сконфигурирован некорректно, что позволяло обходить ограничения и открывать страницы по подконтрольным потенциальным хакерам адресам, в которые можно встраивать вредоносный код JavaScript.

Источник:

Если вы заметили ошибку — выделите ее мышью и нажмите CTRL+ENTER.
Вечерний 3DNews
Каждый будний вечер мы рассылаем сводку новостей без белиберды и рекламы. Две минуты на чтение — и вы в курсе главных событий.
Материалы по теме
window-new
Soft
Hard
Тренды 🔥
YouTube добавил в Shorts функцию Dream Screen — ИИ-генератор фонов для роликов 60 мин.
ПК с ИИ снижают производительность труда пользователей — люди не умеют правильно общаться с ИИ 2 ч.
Разработчики Path of Exile 2 раскрыли, чего ждать от раннего доступа — геймплей, подробности и предзаказ в российском Steam 3 ч.
Приключение Hela про храброго мышонка в открытом мире получит кооператив на четверых — геймплейный трейлер новой игры от экс-разработчиков Unravel 5 ч.
OpenAI случайно удалила потенциальные улики по иску об авторских правах 5 ч.
Скрытые возможности Microsoft Bing Wallpaper напугали пользователей 6 ч.
В WhatsApp появилась расшифровка голосовых сообщений — она бесплатна и поддерживает русский язык 7 ч.
Новая игра создателей The Invincible отправит в сердце ада выживать и спасать жизни — первый трейлер и подробности Dante’s Ring 8 ч.
Центр ФСБ по компьютерным инцидентам разорвал договор с Positive Technologies 9 ч.
Android упростит смену смартфона — авторизовываться в приложениях вручную больше не придётся 9 ч.
Россия и США активно обсуждают, как будут топить МКС 11 мин.
Magssory Fold 3 в 1 — компактная и функциональная беспроводная зарядная станция для Apple, Samsung и не только 3 ч.
Nokia подписала пятилетнее соглашение о поддержке ЦОД Microsoft Azure с миграцией с 100GbE на 400GbE 3 ч.
Давно упавший на Землю кусочек Марса пролил свет на историю воды на Красной планете 3 ч.
TeamGroup представила SSD T-Force GA Pro на чипе InnoGrit — PCIe 5.0, до 2 Тбайт и до 10 000 Мбайт/с 4 ч.
Провалился крупнейший проект по производству электромобильных батарей в Европе — Northvolt объявила о банкротстве 4 ч.
«Уэбб» открыл в ранней Вселенной три огромные галактики — учёные не понимают, почему они так быстро сформировались 4 ч.
В Зеленограде начнут выпускать чипы для SIM-карт и паспортов — на этом планируется заработать триллионы рублей 4 ч.
Смартфоны Poco X6 Pro 5G, M6 Pro и C75 предлагают современный дизайн и продвинутые характеристики 5 ч.
В России стартовали продажи полностью беспроводных наушников Tecno True 1 Air, Buds 4 и Buds 4 Air 5 ч.