CVE-2018-20135

4.4.01.7 sürümünden önceki Samsung Galaxy Apps, bir ortadaki adam (man-in-the-middle) saldırısı aracılığıyla uygulama kurulumlarında yük dengeleme için kullanılan ana bilgisayar adının (hostname) değiştirilmesine izin verir. Bir saldırgan, Galaxy Apps'i kendisinin geçerli bir SSL sertifikası sağlayabileceği rastgele bir ana bilgisayar adı kullanmaya ikna edebilir ve mevcut uygulamaları kurulum sırasında değiştirmek için uygulama mağazasının API'sini taklit edebilir. Söz konusu açık, yük dengelenmiş ana bilgisayar adını elde etmek için kullanılan ve SSL'i ancak yük dengeleyiciden bir ana bilgisayar adı aldıktan sonra zorunlu kılan bir HTTP yöntemi ile uygulama XML dosyasındaki eksik uygulama imza doğrulamasıyla ilgilidir. Bir saldırgan, cihaz üzerinde uzaktan kod çalıştırma sağlamak için bu güvenlik açığından yararlanabilir. Samsung kimliği SVE-2018-12071'dir.