安全研究人員在三星預裝的安卓應用中發現了多個關鍵的安全漏洞，如果成功利用這些漏洞，可能會讓黑客在未經用戶同意的情況下訪問個人數據，並控制設備。移動安全初創公司Oversecured的創始人Sergey Toshin在周四發表的分析報告中表示，這些漏洞可能允許攻擊者訪問和編輯受害者的聯繫人、電話、短信/彩信，以設備管理員的權限安裝任意應用程序，或以系統用戶身份讀寫任意文件，並且可能改變設備的設置。

Sergey Toshin在2021年2月向三星報告了這些漏洞，之後三星在4月和5月的每月安全更新中發布了補丁，針對以下漏洞：

CVE-2021-25356–管理供應中的第三方認證繞過

CVE-2021-25388 – Knox核心中的任意應用安裝漏洞

CVE-2021-25390 – PhotoTable中的意圖重定向

CVE-2021-25391 – 安全文件夾中的意圖重定向

CVE-2021-25392 – 有可能訪問DeX的通知策略文件

CVE-2021-25393 – 可能以系統用戶身份讀/寫訪問任意文件

CVE-2021-25397 – TelephonyUI中的任意文件寫入

這些漏洞的影響意味著它們可以被利用來安裝任意的第三方應用程序，授予設備管理員權限來刪除其他已安裝的應用程序或竊取敏感文件，作為系統用戶讀取或寫入任意文件，甚至執行特權操作。在一個概念驗證（PoC）演示中，黑客可以利用PhotoTable和Secure Folder中的意圖重定向漏洞，劫持應用程序的權限，訪問SD卡並讀取手機中存儲的聯繫人。同樣，通過利用CVE-2021-25397和CVE-2021-25392漏洞，攻擊者可以用惡意內容覆蓋存儲短信/彩信的文件，竊取用戶通知中的數據。

建議三星設備所有者安裝三星最新固件更新，以避免任何潛在的安全風險。