В приложении Galaxy Store для устройств Samsung обнаружен уже исправленный дефект безопасности, который потенциально может вызвать удаленное выполнение команд на затронутых телефонах.
Уязвимость, которая затрагивает Galaxy Store версии 4.5.32.4, связана с ошибкой межсайтового скриптинга (XSS), которая возникает при работе с определенными «глубокими ссылками». Сообщил о проблеме независимый исследователь безопасности.
«В данном случае, из-за отсутствия безопасной проверки глубокой ссылки, когда пользователь переходит по ссылке с веб-сайта, содержащего глубокую ссылку, злоумышленник может выполнить JS-код в контексте webview приложения Galaxy Store» - говорится в сообщении SSD Secure Disclosure.
Атаки XSS позволяют внедрить и выполнить вредоносный код JavaScript при посещении веб-сайта из браузера или другого приложения.
Проблема, выявленная в приложении Galaxy Store, связана с тем, как настроены глубокие ссылки для сервиса маркетинга и контента (MCS) Samsung, что потенциально может привести к сценарию, когда произвольный код, внедренный на веб-сайт MCS, может привести к его выполнению.
Это может быть использовано для загрузки и установки вредоносных приложений на устройство Samsung при переходе по ссылке.
«Для успешной эксплуатации сервера жертвы необходимо наличие HTTPS и CORS в обход chrome» - отметили исследователи.
Источник: https://thehackernews.com
