导读 2022 年 11 月 23 日和 12 月 3 日，NCC 集团的专家在 Galaxy 应用商店应用程序中发现了两个漏洞。这些漏洞可能允许恶意来源在
2022 年 11 月 23 日和 12 月 3 日，NCC 集团的专家在 Galaxy 应用商店应用程序中发现了两个漏洞。这些漏洞可能允许恶意来源在未经用户同意的情况下安装应用程序或将用户重定向到有害网站。发现该问题源于应用商店中的导出活动，该活动无法安全地处理传入的意图，从而允许同一设备上的其他应用程序自动安装Galaxy App Store中的任何应用程序。但是，三星发布了Galaxy App Store的新更新，解决了上述问题。
NCC集团的分析师提供了一个概念验证演示，使用“ADB”(Android Debug Bridge)命令通过提交给应用商店的意图来安装流行的游戏“Pokemon Go”。运行Android 12或更低版本的某些三星设备似乎可能存在漏洞，该漏洞允许潜在安装流氓应用程序。但是，应该注意的是，此问题不会影响运行Android 13的设备。
此外，还发现Galaxy App Store中的Web视图具有未正确配置的过滤器，这可能允许本地攻击者在目标设备上执行JavaScript。正如NCC所解释的那样，这可能是通过单击Chrome中的恶意超链接或通过在三星设备上使用预装的流氓应用程序来实现的。此漏洞的概念验证包括一个恶意超链接，单击该超链接时，会打开带有有害 JavaScript 的网站并在目标设备上执行它。
如前所述，三星此后发布了针对该漏洞的修复程序。该公司推出了Galaxy App Store的更新版本(版本4.5.49.8)。用户应尽早下载它，以避免再次出现安全漏洞的风险。