Компания Checkmarx обнаружила уязвимость в смартфонах Google и Samsung, которая позволяет тайно записывать видео и аудио.
Обнаружение этих уязвимостей, способных повлиять на сотни миллионов пользователей Android, на сегодня.
Когда группа исследователей безопасности Checkmarx начала исследовать приложение Google Camera на смартфонах Pixel 2XL и Pixel 3, она обнаружила несколько уязвимостей.
«Наша команда нашла способ манипулировать конкретными действиями и намерениями, что позволяет любому приложению без специальных разрешений контролировать приложение Google Camera. Эта же техника применима и к приложению Samsung для камер», — говорит Эрез Ялон, директор по исследованиям безопасности в Checkmarx.
Последствия этих уязвимостей, учитывая присутствие в списке смартфонов Google и Samsung, представляют серьезную угрозу для сотен миллионов пользователей.
Сами уязвимости (CVE-2019−2234) позволили мошенническому приложению удаленно извлекать данные с камеры, микрофона, а также данные о местоположении GPS. Возможность сделать это настолько серьезна, что проект с открытым исходным кодом Android (AOSP), в частности, имеет набор разрешений, которые любое приложение должно запросить у пользователя и одобрить перед тем, как разрешить такие действия.
Исследователи Checkmarx создали сценарий атаки, который использовал само приложение Google Camera для обхода этих разрешений. Они сделали это, создав вредоносное приложение, которое использовало одно из наиболее часто запрашиваемых разрешений: доступ к хранилищу.
Компания Checkmarx создала эксплойт для проверки концепции (PoC), разработав вредоносное приложение, метеорологическое приложение, популярное в магазине Google Play. Это приложение не требует каких-либо специальных разрешений, кроме основного доступа к хранилищу.
Это приложение, однако, было далеко не безобидным. Он состоял из двух частей: клиентское приложение, работающее на смартфоне, и сервер управления и контроля, к которому он подключается для выполнения указаний атакующего. После того, как приложение установлено и запущено, оно будет создавать постоянное соединение с этим сервером управления и контроля, а затем сидеть и ждать инструкций. Закрытие приложения не закрыло соединение с сервером.
Такая уязвимость открывает доступ к фото и видео в галерее устройства, позволяет записывать телефонные разговоры и получать данные геолокации.
После подробной проверки выяснилось, что проблема касается не только Pixel, но любых смартфонов, на которых установлена Google Камера. Проблему исправили с выходо м патча для Камеры Google в июле, Samsung выпустила заплатку в августе. О существовании угрозы стало известно только сейчас.
«Мы благодарны Checkmarx за то, что мы обратили на это внимание и работаем с партнерами Google и Android для координации раскрытия информации. Проблема была решена на затронутых устройствах Google через обновление Play Store для приложения Google Camera в июле 2019. Патч также был доступен для всех партнеров», — признали в Google.
Обнаружение этих уязвимостей, способных повлиять на сотни миллионов пользователей Android, на сегодня.
Когда группа исследователей безопасности Checkmarx начала исследовать приложение Google Camera на смартфонах Pixel 2XL и Pixel 3, она обнаружила несколько уязвимостей.
«Наша команда нашла способ манипулировать конкретными действиями и намерениями, что позволяет любому приложению без специальных разрешений контролировать приложение Google Camera. Эта же техника применима и к приложению Samsung для камер», — говорит Эрез Ялон, директор по исследованиям безопасности в Checkmarx.
Последствия этих уязвимостей, учитывая присутствие в списке смартфонов Google и Samsung, представляют серьезную угрозу для сотен миллионов пользователей.
Сами уязвимости (CVE-2019−2234) позволили мошенническому приложению удаленно извлекать данные с камеры, микрофона, а также данные о местоположении GPS. Возможность сделать это настолько серьезна, что проект с открытым исходным кодом Android (AOSP), в частности, имеет набор разрешений, которые любое приложение должно запросить у пользователя и одобрить перед тем, как разрешить такие действия.
Исследователи Checkmarx создали сценарий атаки, который использовал само приложение Google Camera для обхода этих разрешений. Они сделали это, создав вредоносное приложение, которое использовало одно из наиболее часто запрашиваемых разрешений: доступ к хранилищу.
Компания Checkmarx создала эксплойт для проверки концепции (PoC), разработав вредоносное приложение, метеорологическое приложение, популярное в магазине Google Play. Это приложение не требует каких-либо специальных разрешений, кроме основного доступа к хранилищу.
Это приложение, однако, было далеко не безобидным. Он состоял из двух частей: клиентское приложение, работающее на смартфоне, и сервер управления и контроля, к которому он подключается для выполнения указаний атакующего. После того, как приложение установлено и запущено, оно будет создавать постоянное соединение с этим сервером управления и контроля, а затем сидеть и ждать инструкций. Закрытие приложения не закрыло соединение с сервером.
Такая уязвимость открывает доступ к фото и видео в галерее устройства, позволяет записывать телефонные разговоры и получать данные геолокации.
После подробной проверки выяснилось, что проблема касается не только Pixel, но любых смартфонов, на которых установлена Google Камера. Проблему исправили с выходо м патча для Камеры Google в июле, Samsung выпустила заплатку в августе. О существовании угрозы стало известно только сейчас.
«Мы благодарны Checkmarx за то, что мы обратили на это внимание и работаем с партнерами Google и Android для координации раскрытия информации. Проблема была решена на затронутых устройствах Google через обновление Play Store для приложения Google Camera в июле 2019. Патч также был доступен для всех партнеров», — признали в Google.
