圖片來源: 

Photo by Rami Al-zayat on Unsplash

安全研究人員發現Google及三星手機、以及其他Android手機的相機程式有可繞過存取權限檢查的漏洞,可讓駭客用來暗中拍照錄影、甚至定位用戶所在位置。但研究人員相信所有Android手機都有風險。

安全廠商Checkmarx研究小組在Google Pixel 2 XL 和Pixel 3的相機程式上發現一項和權限繞過(permission bypass)有關的安全漏洞,編號CVE-2019-2234。首先,研究團隊發現透過操弄一些特定的actions和intents,攻擊者可利用非法、沒有權限的應用程式控制Google相機程式,用它來拍照或錄影。攻擊者還可繞過手機儲存權限政策存取手機裏的影片、相片及相片的GPS metadata。只要用這些影片、相片、分析其中的EXIF資訊,即可定位出用戶所在位置。隨後研究團隊也發現同一技巧也可用來駭入三星手機的相機程式,他們相信所有Android 手機都有這個風險。

研究人員解釋,存取相機、麥克風、GPS 資料是相當具侵略性的行為,因此AOSP設計了一系列權限許可,應用程式必須取得用戶許可才能存取這些資料。而其中,又以存取SD卡為最多應用程式要求的權限,即使手機中的影片和相片對這些應用程式根本沒用。

為進行概念驗證攻擊,研究團隊開發了一款惡意天氣程式,一旦在Android手機上開啟,即暗中和外部C&C伺服器建立連線,等待接收攻擊指令。研究人員成功以這隻惡意程式控制Google相機程式來拍照、錄音並上傳到惡意伺服器,並分析照片的GPS資訊來定位。此外,惡意程式還能等待有人打來電話、自動啟動錄音,還可以同時錄影。這些動作可不發出聲音進行,甚至能在手機鎖住、螢幕關機時進行攻擊。

研究團隊在7月發現漏洞後通報Google,Google證實此事,並將之風險由最初的「中度」風險提升為「高度」。他們也通知了三星及其他Android手機品牌業者,也獲得三星證實。Google已在7月更新Google 相機(Camera)app並對硬體廠商發佈修補程式。


Advertisement

更多 iThome相關內容