Nachdem miwe ja bereits einen Link zu Heise veröffentlicht hat, möchte ich das etwas ergänzen. Ein neuer Thread, weil ich hoffe, dass es dann nicht so untergeht.
Es ist längst nicht nur Samsung betroffen, sondern ich denke/vermute, alle Versionen bis 4.1. Mit der soll es nicht funktionieren. Abhilfe schaffen nicht nur die empfohlenen Apps, wie NoTelUrl: https://play.google.com/store/apps/details?id=com.voss.notelurl sondern auch die Nutzung werksfremder Browser, wie Opera, Dolphin, oder Firefox.
Hier eine Seite, mit der ihr euer Handy überprüfen könnt:
http://www.isk.kth.se/%7Erbbo/testussd.html
Ich habe die Seite ausprobiert und ihr braucht keine Angst zu haben, angezeigt wird lediglich die IMEI. Wer einen fremden Browser nutzt, der muss noch zusätzlich den angezeigten Link klicken.
Dazu der Link zu http://www.androidpit.de/ussd-exploit-alle-infos-auf-einen-blick die die bereits bekannten Modelle listen. Den Link habe ich mir mangels Zeit noch nicht durchgelesen, nur getestet.
Smartphones, Phablets, Watches, kompakte Mobilgeräte 5.605 Themen, 31.278 Beiträge
Da ich auch nicht der Android Experte bin, aber wie du auch, logische Schlussfolgerungen ziehe, schätze ich, dass du recht hast. Allerdings, sofern ich die Anleitung richtig verstehe, lässt dir diese aber App die Wahl und du kannst bei Bedarf dein Telefon bricken, ganz nach belieben.
http://fotovossblog.peggy-forum.com/2012/09/samsung-ussd-sicherheitsluecke-mit-notelurl-schliesen/
Letztlich ist es ja nicht so schlimm, sofern man einen anderen, als den Androibrowser verwendet. Ich habe die automatische Nummernübernahme noch nicht genutzt. Mich nervt das eher, wenn irgendwelche Zahlen auf einer Seite stehen und die dir gleich als Telefonnummer angeboten werden.