Samsung hat vier Schwachstellen in seiner Smart-Switch-App für Android behoben, durch die sensible Daten offengelegt oder durch die ein Angreifer im selben Netzwerk die Identität eines Geräts vortäuschen könnte.
Die Schwachstellen betreffen laut Samsungs August-Sicherheitsbulletin. Drei davon könnten sensible Daten offenlegen oder Zugriff darauf ermöglichen, während eine weitere es einem Angreifer erlauben könnte, die Identität eines Geräts zu fälschen.
Das ist relevant, weil Smart Switch beim Umzug auf ein neues Galaxy-Gerät eine große Bandbreite persönlicher Daten verarbeiten kann, darunter Kontakte, Nachrichten, Fotos, Videos, Dokumente, Kontoinformationen und Geräteeinstellungen.
Vier Smart-Switch-Schwachstellen in der neuesten Version behoben
Eine der beiden Schwachstellen mit hohem Schweregrad, CVE-2026-21079, ist darauf zurückzuführen, dass von Smart Switch übertragene sensible Daten nicht verschlüsselt wurden.
Samsung erklärte, die Schwachstelle könne es einem Angreifer im selben Netzwerk ermöglichen, bei Versionen vor 3.7.72.6 übertragene Informationen abzufangen. Das Unternehmen teilte mit, dass der Patch eine ordnungsgemäße Verschlüsselungslogik hinzufügt.
Die National Vulnerability Database bewertet die Schwachstelle mit einem CVSS-3.1-Score von 6,5 (mittel), während Samsungs CVSS-4.0-Bewertung bei 7,0 (hoch) liegt.
Eine zweite Schwachstelle mit hohem Schweregrad, CVE-2026-21080, betrifft die Speicherung sensibler Informationen durch Smart Switch im Klartext. Laut Samsung könnte ein Angreifer im selben Netzwerk möglicherweise auf diese Informationen zugreifen. Das Update beseitigt das Risiko.
Zwei weitere Schwachstellen werden als moderat eingestuft.
CVE-2026-21078 betrifft eine unzureichende Verifizierung im Modus zur Problemüberprüfung von Smart Switch, wodurch ein Angreifer im selben Netzwerk möglicherweise die Identität eines Geräts vortäuschen könnte. CVE-2026-21083 betrifft eine fehlerhafte Eingabevalidierung, die es laut Samsung einem Angreifer im selben Netzwerk ermöglichen könnte, auf sensible Daten zuzugreifen.
Samsung dankte den Forschern Rene Denifl und Florian Draschbacher für die Meldung aller vier Schwachstellen.
Die Smart-Switch-Fixes erscheinen zusammen mit einer umfassenderen Sicherheitsoffensive von Samsung. Anfang dieses Monats behob Samsungs August-Galaxy-Update 56 Schwachstellen auf berechtigten Galaxy-Geräten, darunter acht als kritisch eingestufte Android-Schwachstellen.
Warum Smart Switch sensible Daten besonders schützenswert macht
Smart Switch wurde speziell für die Übertragung von Daten zwischen Geräten entwickelt, weshalb Schwachstellen bei Verschlüsselung, Authentifizierung und der Offenlegung von Informationen besonders ins Gewicht fallen.
Laut Samsungs Support-Dokumentation, kann die App Inhalte von Android- und iOS-Geräten über drahtlose Verbindungen, USB-Kabel oder externen Speicher auf Galaxy-Smartphones und -Tablets übertragen.
Je nach beteiligten Geräten können zu den übertragenen Informationen Kontakte, Anruflisten, Nachrichten, Fotos, Videos, Dokumente, Einstellungen und Kontodaten gehören.
Diese Schwachstellen werden nicht als internetweit ausnutzbare Remote-Schwachstellen beschrieben. Samsung stuft die Angriffsvektoren für alle vier als benachbart ein. Das bedeutet, dass ein Angreifer über ein benachbartes Netzwerk oder einen entsprechenden Verbindungskontext Zugriff benötigen würde, statt ein anfälliges Gerät einfach von überall im Internet aus der Ferne zu erreichen.
Der NVD-Eintrag für CVE-2026-21079 verweist außerdem auf eine CISA-Bewertung, in der die Ausnutzung zum 10. August mit „keine“ angegeben wird. Diese Bewertung bezieht sich ausdrücklich auf CVE-2026-21079 und sollte nicht als Einschätzung der Ausnutzung aller vier Smart-Switch-Schwachstellen verstanden werden.
Dennoch sind Mobilgeräte weiterhin Angriffen ausgesetzt, die auf die Entwendung sensibler Informationen abzielen. eSecurity Planet berichtete kürzlich über Manic-Android-Malware , die Passwörter, Einmalcodes und andere Informationen stehlen und die gestohlenen Daten anschließend an kompromittierte Telefone in der Nähe weiterleiten kann.
Smart Switch hatte bereits Anfang dieses Jahres gravierende Schwachstellen
Die neuesten Fixes sind nicht die ersten Sicherheitsupdates von Samsung für Smart Switch für Android im Jahr 2026.
Samsungs März-Bulletin legte eine Reihe von Smart-Switch-Schwachstellen offen, die Versionen vor 3.7.69.15 betrafen. Laut Samsung könnten fünf mit einer kritischen Authentifizierungsschwachstelle verbundene CVEs es Angreifern aus der Ferne ermöglichen, beliebige Anwendungen zu installieren.
Eine weitere Schwachstelle mit hohem Schweregrad betraf einen Pfadüberlauf, durch den ein Angreifer im selben Netzwerk mit den Rechten von Smart Switch beliebige Dateien überschreiben könnte. Samsung behob außerdem eine Authentifizierungsschwachstelle, durch die ein Angreifer im selben Netzwerk eine Denial-of-Service-Situation auslösen könnte.
Die wiederkehrenden Fixes zeigen, warum Anwendungsupdates auch dann wichtig sind, wenn das zugrunde liegende Galaxy-Betriebssystem vollständig gepatcht ist.
Auch andere Smartphone-Hersteller stehen vor derselben übergreifenden Herausforderung. Apple hat kürzlich ein Update veröffentlicht, das kritische iPhone-Sicherheitslücken behebt, die zur Ausführung von Schadcode und anderen Sicherheitsfolgen führen könnten.
Was Samsung-Nutzer jetzt tun sollten
Android-Nutzer, die Samsung Smart Switch verwenden, sollten sicherstellen, dass die App über die Version 3.7.72.6 oder höher verfügt. Samsung führt 3.7.72.6 als behobene Android-App-Version für alle vier Schwachstellen auf.
Galaxy-Nutzer können über den Galaxy Store oder Google Play nach Smart-Switch-Updates suchen. Organisationen, die Galaxy-Telefone verwalten, sollten außerdem die Anwendungsversionen auf Unternehmensgeräten überprüfen, statt davon auszugehen, dass ein Betriebssystemupdate jede Samsung-Anwendung gepatcht hat.
In Samsungs August-Hinweis wird nicht angegeben, dass die vier Smart-Switch-Schwachstellen aktiv ausgenutzt werden.
Die erforderlichen Angriffsbedingungen senken die unmittelbare Alarmstufe im Vergleich zu aus der Ferne ausnutzbaren Schwachstellen. Die Art der von Smart Switch verarbeiteten Daten macht ein Update jedoch weiterhin sinnvoll. Wenn einer App anvertraut wird, Kontakte, Nachrichten, Fotos, Konten und Einstellungen eines Nutzers von einem Telefon auf ein anderes zu übertragen, sollte es zum Umzug gehören, diesen Übertragungskanal auf dem aktuellen Patchstand zu halten.
Außerdem lesenswert: Galaxy-Nutzer waren mit noch ernsteren mobilen Bedrohungen konfrontiert, darunter die LANDFALL-Spyware-Kampagne , die eine Zero-Day-Schwachstelle ausnutzte, um Galaxy-Geräte anzugreifen.