Samsung, mobil uygulama pazarında, tehdit aktörlerinin cihaz sahibinin bilgisi veya izni olmadan hedef mobil cihaza herhangi bir uygulama yüklemesine izin verebilecek iki güvenlik açığını yamaladı.
NCC Group’tan siber güvenlik araştırmacıları, Aralık 2022’nin sonlarında güvenlik açıklarını keşfetti ve şirketin 1 Ocak 2023’te bir yama (sürüm 4.5.49.8) yayınlamasıyla Samsung’a haber verdi.
Şimdi, kusur giderildikten neredeyse bir ay sonra, araştırmacılar teknik ayrıntılar ve bir kavram kanıtı (PoC) istismar kodu yayınladılar.
Kötü amaçlı uygulamalar yükleme
İlk kusur, hedef uç noktaya uygulama yüklemek için kullanılabilecek uygunsuz bir erişim kontrolü kusuru olan CVE-2023-21433 olarak izlenir. CVE-2023-21434 olarak izlenen ikinci kusur, hedeflenen cihazda kötü amaçlı JavaScript’i çalıştırmak için kullanılabilen uygunsuz bir giriş doğrulama güvenlik açığı olarak tanımlanıyor.
Her iki güvenlik açığından yararlanmak için yerel erişim gerekirken, yetenekli suçlular için bunun bir sorun olmadığı söylendi. Araştırmacılar, uygulamanın Pokemon dünyasını temel alan dünya çapında popüler bir coğrafi konum oyunu olan Pokemon Go’yu yüklemesini sağlayarak kusurları gösterdi.
Araştırmacılar, Pokemon Go iyi huylu bir uygulama olsa da, kusurların daha uğursuz amaçlar için kullanılmış olabileceğini doğruladı. Aslında, tehdit aktörleri bunları hassas bilgilere erişmek için kullanabilirdi. (yeni sekmede açılır) veya mobil uygulamaları kilitleyin.
Ayrıca, cihazlarında Galaxy Store’un daha eski ve savunmasız bir sürümü olsa bile, Android 13 çalıştıran Samsung cihazlarının kusura karşı savunmasız olmadığını belirtmek gerekir.
Bunun nedeni, popüler mobil işletim sisteminin en son sürümünde sunulan ek güvenlik önlemleridir.
Bununla birlikte, AppBrain’in rakamlarına göre, tüm Android cihazlarının yalnızca %7’si en son sürüme sahipken, Android’in desteklenmeyen sürümleri (9.0 Pie ve daha eski) tüm Android pazar payının yaklaşık %27’sini oluşturuyor.
Üzerinden: BleepingBilgisayar (yeni sekmede açılır)