Уязвимость в системе безопасности позволяла любым приложениям управлять родным приложением «Камера» в операционной система Android без необходимых разрешений со стороны пользователя, в том числе снимать фото. Об этом рассказал в статье глава отдела безопасности компании Checkmarx Эрез Ялон (Erez Yalon).
Ялон обнаружил такие уязвимости в приложениях «Камеры» разработки Google и Samsung. Пользователю достаточно выдать приложению разрешение на доступ к памяти устройства.
Чтобы продемонстрировать использование уязвимости, Ялон создал фальшивое приложение погоды, которое запрашивает единственное разрешение у пользователя — на доступ к памяти. Само по себе приложение безвредно и не блокируется системой безопасности Google Play Protect. Но закрытие приложения не обрывает соединение с сервером, позволяя хакеру отправлять команды. После этого, хакер сможет на смартфоне, причём даже на заблокированном:
- Снимать фото и видео с помощью камеры смартфона, а затем загружать на удалённый сервер. Пользователь этого не заметит, поскольку звук срабатывания «затвора» будет отключен
- С помощью датчика приближения определять, что пользователь говорит по телефону, а затем записывать, что говорят оба собеседника
- Записывать видео пользователя во время звонка, в дополнение к звуку
- Получить неограниченный доступ к фото и видео на устройстве
- Получить метки GPS со всех фото на устройстве, если пользователь разрешил их приложению камеры. Затем эти данные могут использоваться для истории перемещений пользователя
Checkmarx сообщила о найденной уязвимости Google в июле 2019 года. Google не сразу, но признала, что уязвимость охватывает широкое число производителей смартфонов. Это произошло во второй половине августа, затем производителей оповестили об опасности. В самом конце августа Samsung признала наличие уязвимости на своих устройствах.
В ноябре Google и Samsung одобрили публикацию. По словам Google, она исправила уязвимость на собственных устройствах в июле, а также отправила исправление всем затронутым партнёрам.