Se han revelado dos fallas de seguridad en la aplicaci\u00f3n Galaxy Store de Samsung para Android que podr\u00edan ser aprovechadas por un atacante local para instalar sigilosamente aplicaciones arbitrarias o dirigir a posibles v\u00edctimas a p\u00e1ginas de destino fraudulentas en la web.<\/p>\n
Los problemas, rastreados como CVE-2023-21433 y CVE-2023-21434<\/strong>fueron descubierto<\/a> por NCC Group y notificado al chaebol de Corea del Sur en noviembre y diciembre de 2022. Samsung clasificado<\/a> los errores como riesgo moderado y las correcciones publicadas en la versi\u00f3n 4.5.49.8 se enviaron a principios de este mes.<\/p>\n Samsung Galaxy Store, anteriormente conocida como Samsung Apps y Galaxy Apps, es una tienda de aplicaciones dedicada que se utiliza para dispositivos Android fabricados por Samsung. Fue lanzado en septiembre de 2009.<\/p>\n La primera de las dos vulnerabilidades es CVE-2023-21433, que podr\u00eda permitir que una aplicaci\u00f3n no autorizada de Android ya instalada en un dispositivo Samsung instale cualquier aplicaci\u00f3n disponible en Galaxy Store.<\/p>\n Samsung lo describi\u00f3 como un caso de control de acceso inadecuado que, seg\u00fan dijo, se parche\u00f3 con los permisos adecuados para evitar el acceso no autorizado.<\/p>\n Vale la pena se\u00f1alar aqu\u00ed que la deficiencia solo afecta a los dispositivos Samsung que ejecutan Android 12 y versiones anteriores, y no afecta a los que tienen la \u00faltima versi\u00f3n (Android 13).<\/p>\n La segunda vulnerabilidad, CVE-2023-21434, se relaciona con una instancia de validaci\u00f3n de entrada incorrecta que ocurre al limitar la lista de dominios que podr\u00edan lanzarse como un WebView<\/a> desde dentro de la aplicaci\u00f3n, lo que permite efectivamente que un actor de amenazas eluda el filtro y busque un dominio bajo su control.<\/p>\n “Tocar un hiperv\u00ednculo malicioso en Google Chrome o una aplicaci\u00f3n maliciosa preinstalada en un dispositivo Samsung puede pasar por alto el filtro de URL de Samsung y lanzar una vista web a un dominio controlado por un atacante”, dijo Ken Gannon, investigador de NCC Group.<\/p>\n La actualizaci\u00f3n se produce cuando Samsung lanz\u00f3 actualizaciones de seguridad para el mes de enero de 2023 para corregir varios defectos<\/a>algunos de los cuales podr\u00edan explotarse para modificar los par\u00e1metros de la red del operador, controlar la publicidad BLE sin permiso y lograr la ejecuci\u00f3n de c\u00f3digo arbitrario.<\/p>\n <\/p>\n