不当的访问控制可能使本地攻击者从Galaxy App Store（CVE-2023-21433）安装应用程序
CVE编号
CVE-2023-21433利用情况
暂无补丁情况
N/A披露时间
2023-01-20漏洞描述
Galaxy应用商店是预装在三星Android设备上的另一个应用商店。Galaxy应用商店和谷歌应用商店都提供了几个Android应用程序，用户可以选择使用其中一个商店来安装特定的应用程序。 发现Galaxy App Store有一个导出的活动，无法以安全的方式处理传入的意图。这允许安装在同一三星设备上的其他应用程序在用户不知情的情况下自动安装Galaxy App Store上可用的任何应用程序。 需要注意的是，由于对Android 13进行了更改，此问题仅影响运行Android 12及以下版本的三星设备。解决建议
对于运行Android 12或更低版本的三星设备，三星发布了Galaxy App Store的更新版本（版本4.5.49.8）。用户应在手机上打开Galaxy App Store，如果出现提示，请下载并安装最新版本。此问题不会影响运行Android 13的设备。用户仍应将Galaxy应用商店更新至最新版本，以解决潜在的其他问题。
参考链接 |
|
|---|---|
| https://research.nccgroup.com/2023/01/20/technical-advisory-multiple-vulnerab... | |
| https://security.samsungmobile.com/serviceWeb.smsb?year=2023&month=01 |
受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | samsung | galaxy_store | * | Up to (excluding) 4.5.49.8 | |||||
- 攻击路径 本地
- 攻击复杂度 低
- 权限要求 低
- 影响范围 未更改
- 用户交互 无
- 可用性 高
- 保密性 高
- 完整性 高
| CWE-ID | 漏洞类型 |
| CWE-276 | 缺省权限不正确 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论