Ausgangspunkt des von Gannon und Valsamaras entwickelten Angriffs ist ein Link, den das Opfer über bösartige Werbung oder eine Nachrichtenanwendung erhält. Klickt der Nutzer darauf, wird zunächst die als CVE-2025-21079 erfasste Schwachstelle ausgenutzt, um Samsung Members mit einer präparierten Website zu verbinden. Samsung Members ist eine offizielle App für Nutzer-Community, Diagnose und Support, die auf vielen Galaxy-Smartphones der Mittel- und Oberklasse vorinstalliert ist.
Die präparierte Website zwingt anschließend die App Samsung Account zum Öffnen. Dort kommt laut den Forschern zunächst CVE-2025-58486 zum Einsatz, um auch Samsung Account mit einer von Angreifern kontrollierten Website zu verbinden. Diese nutzt dann wiederum die XSS-Schwachstelle CVE-2025-58487, um aus Samsung Account heraus Bixby zu starten.
Gegenüber SecurityWeek erklärten die Forscher, dass Samsung Account hierfür über eine besondere Berechtigung verfügt, die für die Interaktion mit einem bestimmten „Einstiegspunkt“ in Bixby nötig ist. Gannon beschrieb das als eine Art Seiteneingang, für den Samsung Account den passenden Schlüssel besitzt.
Im nächsten Schritt missbraucht die Angriffskette sogenannte Capsules. Dabei handelt es sich um versteckte Hintergrunddienste innerhalb einer App, die wie kleine interne Server arbeiten. Wenn Nutzer einen Sprachbefehl an Bixby richten, übersetzt der Assistent die Anfrage und leitet sie an die Capsule der jeweiligen App weiter, die die eigentliche Funktion ausführt. Da Capsules App-Funktionen direkt steuern können, beschränkt Samsung den Zugriff normalerweise auf Bixby.
Die Forscher gaben jedoch an, die Capsule-Infrastruktur auf Samsung-Smartphones rückentwickelt zu haben. Dadurch fanden sie einen Weg, Bixby zum missbräuchlichen Einsatz verschiedener Capsules zu zwingen. Das habe es ermöglicht, sensible Daten abzuziehen und auf dem Android-Gerät Berechtigungen auf Systemebene zu erlangen. Nach Darstellung der Forscher ist das die höchste Privilegienstufe, die sich auf einem unveränderten Consumer-Gerät erreichen lässt.
Sobald diese Systemberechtigungen vorliegen, seien ferner Remotecodeausführung und die Übernahme des Geräts möglich. Erfolgreich reproduziert wurde die Kette nach Angaben der Forscher auf den Modellen Samsung Galaxy S25, S24 und Flip 7.
Samsung begann dem Bericht zufolge wenige Wochen nach Pwn2Own mit der Behebung der Schwachstellen. Für die Anwendung Samsung Members wurden im November 2025 Updates ausgeliefert, die verhindern sollten, dass sich die Exploit-Kette über einen Webbrowser oder eine Nachrichten-App anstoßen lässt. Im Dezember folgten Patches für die Lücken in Samsung Account.
Gegenüber SecurityWeek wiesen die Forscher außerdem darauf hin, dass der Angriff auch auf älteren Samsung-Geräten funktioniere, die die Aktualisierungen womöglich nicht erhalten haben. Voraussetzung sei allerdings, dass alle anvisierten Apps installiert sind. Bei Flaggschiffmodellen seien sie vorinstalliert; ob das auch für günstigere Modelle gilt, sei unklar. Samsung reagierte nicht auf eine Anfrage von SecurityWeek nach einer Stellungnahme.