Android的攝像頭App出現(xiàn)了新的漏洞，影響了至少上百萬的Android設(shè)備。此漏洞導(dǎo)致其他應(yīng)用程序在沒有獲得必要權(quán)限的情況下拍攝視頻和照片，并從存儲(chǔ)中提取GPS數(shù)據(jù)。安卓應(yīng)用通常會(huì)在同一臺(tái)設(shè)備上為其他應(yīng)用打開很多功能，比如攝影，但是為了使用這些功能，其他應(yīng)用必須事先獲得相應(yīng)的權(quán)限。

對(duì)于谷歌和三星，Checkmarx的研究人員今天揭示了一個(gè)新的漏洞。即使其他應(yīng)用沒有得到谷歌應(yīng)用的許可，他們也可以拍照、錄制視頻或獲取設(shè)備位置。此漏洞被命名為CVE-2019-2234。據(jù)說這個(gè)問題如果在2019年7月之前不解決，會(huì)影響谷歌相機(jī)和三星相機(jī)的正常使用。

繞過拍攝照片和錄制視頻的許可申請(qǐng)

Checkmarx研究人員在分析了Google Pixel的攝像頭應(yīng)用程序后發(fā)現(xiàn)，可以組合多種權(quán)限來操作設(shè)備的攝像頭，然后進(jìn)行拍照或錄像。一般來說，一個(gè)應(yīng)用要想錄制視頻、拍照或獲取設(shè)備位置，必須獲得以下權(quán)限:Android攝像頭使用權(quán)限、Android視頻錄制權(quán)限、精確定位權(quán)限、粗略定位權(quán)限。

Checkmarx的研究人員發(fā)現(xiàn)，擁有“存儲(chǔ)”權(quán)限的APP可以訪問設(shè)備上SD卡的所有內(nèi)容，而且該App可以在未獲得上述權(quán)限的情況下使用相機(jī)App的所有開放功能?！鞍沧恐悄苁謾C(jī)上的惡意應(yīng)用可以讀取SD卡，SD卡不僅可以訪問現(xiàn)有的照片和視頻，還可以利用這種新的攻擊方式定向啟動(dòng)攝像頭，從而進(jìn)行拍照或錄像。

此外，全球定位系統(tǒng)的元數(shù)據(jù)通常嵌入在照片中，攻擊者可以通過稍微分析照片或視頻的EXIF數(shù)據(jù)來獲得用戶的位置。這顯然是一個(gè)嚴(yán)重的問題，因?yàn)橘愜囉螒?、流媒體服務(wù)甚至天氣預(yù)報(bào)等各種應(yīng)用都會(huì)定期申請(qǐng)存儲(chǔ)許可?！翱赡苡行?yīng)用一直對(duì)照片或視頻訪問不感興趣，但不可否認(rèn)的是，大量應(yīng)用在合理合法的范圍內(nèi)申請(qǐng)存儲(chǔ)權(quán)，這是目前最常見的應(yīng)用權(quán)限之一。”

更糟糕的是，研究人員創(chuàng)建了一個(gè)偽裝成天氣應(yīng)用程序的概念性應(yīng)用程序，它可以在研究人員的控制下悄悄地將照片、視頻和電話錄音發(fā)送回服務(wù)器。此漏洞非常危險(xiǎn)，因?yàn)樗试S沒有應(yīng)用程序權(quán)限的應(yīng)用程序執(zhí)行以下操作:在手機(jī)鎖定或屏幕關(guān)閉時(shí)拍攝照片和錄制視頻。GPS位置數(shù)據(jù)是從存儲(chǔ)的照片中提取的。甚至在拍照錄像的時(shí)候也能聽到雙向?qū)υ挕１焕账鞯目赡苄蕴罅耍?/p>

把相機(jī)快門靜音，讓受害者拍照時(shí)聽不到聲音。傳輸SD卡中存儲(chǔ)的歷史視頻和照片。谷歌相機(jī)已于2019年7月修復(fù)

Checkmarx于2019年7月4日指出了針對(duì)Google的漏洞，7月23日Google將該漏洞升級(jí)為“高風(fēng)險(xiǎn)漏洞”級(jí)別。8月1日，谷歌確認(rèn)Checkmarx研究人員懷疑的漏洞確實(shí)存在，谷歌攝像頭確實(shí)影響了其他搭載安卓的移動(dòng)設(shè)備。該漏洞被命名為CVE-2019-2234。

8月下旬，谷歌確認(rèn)三星設(shè)備的攝像頭受到影響，兩家公司均同意披露該漏洞的存在。Google Inc .表示，2019年7月通過Google Play Store修復(fù)更新了攝像頭應(yīng)用中的漏洞，并為其他供應(yīng)商提供了補(bǔ)丁。

“我們非常感謝Checkmarx提請(qǐng)我們注意這個(gè)問題，并與谷歌和安卓供應(yīng)商談判披露了這個(gè)問題。這個(gè)問題已經(jīng)在7月份解決了。我們已經(jīng)更新了Google Play Store中的Google攝像頭，所有合作伙伴都可以使用這個(gè)補(bǔ)丁。”在這里，強(qiáng)烈建議所有用戶將安卓系統(tǒng)升級(jí)到最新版本，以確保您的設(shè)備上使用最新的攝像頭應(yīng)用程序。