Se han descubierto dos fallos de seguridad en la aplicación Samsung Galaxy Store para Android que podrían ser explotados por un atacante local para instalar sigilosamente aplicaciones arbitrarias o dirigir a posibles víctimas a páginas web fraudulentas.
Los problemas, rastreados como CVE-2023-21433 y CVE-2023-21434, fueron descubiertos por NCC Group y notificados al chaebol surcoreano en noviembre y diciembre de 2022. Samsung clasificó los fallos como de riesgo moderado y publicó las correcciones en la versión 4.5.49.8 enviada a principios de este mes.
Samsung Galaxy Store, antes conocida como Samsung Apps y Galaxy Apps, es una tienda de aplicaciones dedicada a los dispositivos Android fabricados por Samsung. Se lanzó en septiembre de 2009.
La primera de las dos vulnerabilidades es la CVE-2023-21433, que podría permitir que una aplicación Android fraudulenta ya instalada en un dispositivo Samsung instalara cualquier aplicación disponible en Galaxy Store.
Samsung lo describió como un caso de control de acceso inadecuado que, según dijo, ha sido parcheado con los permisos adecuados para evitar accesos no autorizados.
Vale la pena señalar aquí que la deficiencia sólo afecta a los dispositivos Samsung que ejecutan Android 12 y anteriores, y no afecta a los que están en la última versión (Android 13).
La segunda vulnerabilidad, CVE-2023-21434, se refiere a un caso de validación de entrada incorrecta que se produce al limitar la lista de dominios que pueden ser lanzados como una WebView desde dentro de la aplicación, lo que permite a un actor de amenaza eludir el filtro y navegar a un dominio bajo su control.
La actualización se produce cuando Samsung lanzó actualizaciones de seguridad para el mes de enero de 2023 con el fin de corregir varios fallos, algunos de los cuales podrían aprovecharse para modificar los parámetros de red del operador, controlar la publicidad BLE sin permiso y lograr la ejecución arbitraria de código.