Bằng việc sử dụng công cụ quét các lỗ hổng bảo mật cũng như các vấn đề liên quan tới quyền riêng tư và bảo mật mang tên Mobile Application Security Testing (MAST) trên nhiều mẫu smartphone Samsung, các nhà nghiên cứu tại Kryptowire đã tìm ra lỗ hổng CVE-2022-22292.
Lỗ hổng này có khả năng cho phép hacker thực hiện một loạt hành động bao gồm gọi điện, cài đặt/gỡ cài đặt ứng dụng, làm suy yếu bảo mật HTTPS bằng cách cài đặt chứng chỉ chưa được xác minh, chạy ứng dụng trong nền hoặc thậm chí là khôi phục cài đặt gốc của một thiết bị.
CVE-2022-22292 ảnh hưởng tới hầu hết các mẫu smartphone Samsung chạy các phiên bản Android 9 đến 12 bởi ứng dụng Gọi điện (Phone) cài sẵn chứa một thành phần không an toàn. Do ứng dụng Gọi điện chạy với đặc quyền hệ thống nên đã mở ra một vecto tấn công cho hacker.
Các ứng dụng độc hại có thể sử dụng lỗ hổng của ứng dụng Gọi điện để bắt chước hoạt động cấp hệ thống và truy cập vào các chức năng vốn được bảo vệ.
Kryptowire phát hiện ra lỗ hổng này từ tháng 11/2021 và đã báo cáo cho Samsung ngay lập tức. Samsung đã tiến hành điều tra và tìm cách khắc phục. Hãng công nghệ Hàn Quốc đã phát hành bản vá cho lỗ hổng này trong tháng 02/2022.
Samsung khuyến cáo mọi người dùng nên cập nhật hệ điều hành trên thiết bị của mình ngay lập tức để đảm bảo an toàn.
