Szpieg w twojej kieszeni. Google potwierdziło poważną lukę w aplikacji aparatu na Androidzie

20 listopada 2019, 15:00 Ten materiał jest dostępny również w języku ukraińskim Autor: Anton Khodorenko Firma

Checkmarx odkryła lukę w smartfonach Google i Samsunga, która umożliwia potajemne nagrywanie wideo i audio

.

Odkrycie tych luk, które mogą dotknąć setki milionów użytkowników Androida, jest największym z dotychczasowych.

Kiedy zespół badawczy ds. bezpieczeństwa Checkmarx zaczął badać aplikację Google Camera w smartfonach Pixel 2XL i Pixel 3, odkrył kilka luk.

"

Nasz zespół znalazł sposób na manipulowanie określonymi działaniami i intencjami, pozwalając dowolnej aplikacji kontrolować aplikację Kamera Google bez specjalnych uprawnień. Ta sama technika dotyczy aplikacji aparatu Samsunga" - powiedział Erez Yalon, dyrektor ds. badań nad bezpieczeństwem w firmie Checkmarx.

Implikacje tych podatności, biorąc pod uwagę obecność na liście smartfonów Google i Samsunga, stanowią poważne zagrożenie dla setek milionów użytkowników.

Same luki (CVE-2019-2234) pozwalały nieuczciwej aplikacji na zdalne pobieranie danych z kamery, mikrofonu i danych o lokalizacji GPS. Możliwość zrobienia tego jest tak poważna, że Android Open Source Project (

AOSP), w szczególności, ma zestaw uprawnień, że każda aplikacja musi poprosić i zatwierdzić od użytkownika przed zezwoleniem na takie działania.

Badacze Checkmarx stworzyli skrypt ataku, który wykorzystywał samą aplikację Google Camera do ominięcia tych uprawnień. Dokonali tego tworząc złośliwą aplikację, która wykorzystywała jedno z najczęściej wymaganych uprawnień: dostęp do pamięci masowej.

Checkmarx stworzył exploit do przetestowania koncepcji (

PoC), tworząc złośliwą aplikację, popularną w sklepie Google Play aplikację pogodową. Ta aplikacja nie wymagała żadnych specjalnych uprawnień poza podstawowym dostępem do pamięci masowej.

Ta aplikacja, jednak, była daleka od nieszkodliwości. Składał się on z dwóch części: aplikacji klienckiej działającej na smartfonie oraz serwera dowodzenia i kontroli, z którym łączy się w celu wykonywania poleceń atakującego. Po zainstalowaniu i uruchomieniu aplikacji, nawiązywałaby ona stałe połączenie z serwerem dowodzenia i kontroli, a następnie siedziałaby i czekała na instrukcje. Zamknięcie aplikacji nie powoduje zamknięcia połączenia z serwerem.

Taka luka otwiera dostęp do zdjęć i filmów znajdujących się w galerii urządzenia, pozwala na nagrywanie rozmów telefonicznych i pobieranie danych geolokalizacyjnych.

Po dokładnym sprawdzeniu okazało się, że problem dotyczy nie tylko Pixela, ale każdego smartfona, który ma zainstalowaną Google Camera. Problem został naprawiony wraz z wydaniem poprawki dla Google Camera w lipcu, a Samsung wydał poprawkę w sierpniu. Istnienie tego zagrożenia wyszło na jaw dopiero teraz.

"Jesteśmy wdzięczni firmie Checkmarx za zwrócenie naszej uwagi na ten problem i współpracę z Google oraz partnerami Androida w celu skoordynowania ujawnienia informacji.

Problem został rozwiązany na dotkniętych urządzeniach Google za pośrednictwem aktualizacji Sklepu Play dla aplikacji Aparat Google w lipcu 2019 r. Łata została również udostępniona wszystkim partnerom" - przyznało Google. Subskrybuj codzienny biuletyn e-mailowy
Techno Codzienny biuletyn o tym, jak technologia zmienia świat Subskrybuj codziennie o 17:00