中國小康網綜合媒體報道 北京時間11月20日早間消息，安全公司Checkmarx發現，谷歌和三星等公司的Android智能手機存在一個安全漏洞，讓惡意應用無需用戶許可就能錄製視頻、拍攝照片和捕獲音頻，並將內容上傳到遠程服務器，這個漏洞有可能會讓高價值目標的周邊環境被智能手機非法記錄。

Android本應阻止應用在未經用戶許可的情況下訪問智能手機攝像頭和麥克風，但這個漏洞能讓應用無需獲得用戶的明確許可，只需獲得訪問設備存儲空間的權限，即可使用攝像頭和麥克風來捕獲視頻和音頻，而這通常是大多數應用要求獲得的權限。

爲了搞清楚這個漏洞是如何運作的，Checkmarx開發了一個概念驗證應用，表面上看起來像是個天氣應用，但實際上在後臺收集大量數據。測試發現，即使手機屏幕或應用處於關閉狀態，這個應用也可以拍攝照片和錄製視頻，還可以訪問照片中的位置數據。該應用能在“隱形”模式下運行，消除相機快門的聲音，還可以錄製雙向電話通話，並可將所有數據上傳到遠程服務器。

安卓系統的相機App中出現了一個新的漏洞，至少有數百萬臺安卓設備受到影響，這個漏洞導致其它App在沒有獲得必要權限的情況下可以拍攝視頻、照片並從儲存器中提取GPS數據。

安卓的App通常會開放照相等多項功能以供同一設備上的其它App使用，但是爲了使用這些功能，其它App必須預先獲得相應的權限。

針對谷歌和三星，Checkmarx的研究人員在今天披露了一個新的漏洞，即使其它App沒有獲得谷歌App的權限，它們也一樣可以拍照、錄製視頻或者獲取設備位置。

這一漏洞被命名爲CVE-2019-2234，據稱，如果該問題在2019年7月之前未被解決，將會影響到谷歌相機和三星相機的正常使用。

繞過拍照和錄製視頻的權限申請

經過對谷歌Pixel的相機App的分析，Checkmarx研究人員發現許多權限結合在一起便可以操縱設備的相機，進而拍攝照片或錄製視頻。

安卓被曝嚴重漏洞一般而言，一款應用想要錄製視頻、拍攝照片或者獲取設備位置，必須獲得以下權限：安卓相機使用權限、安卓視錄製權限、獲取精確位置權限以及獲取粗略位置權限。

Checkmarx的研究人員發現具有“存儲”權限的App竟然可以訪問設備上SD卡的全部內容，同時該APP無需獲得以上權限就可以使用相機App的所有開放功能。

“安卓智能手機上惡意運行的App可以讀取SD卡，該App不僅可以訪問已有的照片和視頻，而且可以利用這種新的攻擊方法定向啓動相機，從而拍攝照片或錄製視頻。

不僅如此，GPS的元數據通常會嵌入到照片中，攻擊者可以利用這一點通過對拍攝照片或視頻的EXIF數據稍加解析，便可以獲取用戶的定位。”

這顯然是一個嚴重的問題，因爲賽車遊戲、流媒體服務甚至是天氣預報等多種App會定期申請存儲權限。

“也許一些App還沒有對照片或視頻訪問產生興趣，但不可否認的是，大量的App都合理合法的範圍內申請存儲權限，而這是目前最普遍的被申請權限之一。”

安卓被曝嚴重漏洞更爲糟糕的是，研究人員創建了一款僞裝成天氣類應用程序的概念App，該App竟然可以將照片、視頻和電話錄音悄無聲息的發送回研究人員控制下的服務器。

該漏洞十分危險，因爲它可以允許沒有應用權限的App執行以下操作：

在手機鎖定或屏幕關閉的情況下拍攝照片並錄製視頻。

通過存儲的照片提取GPS位置數據。

即使在拍照和錄製視頻時，也能收聽到雙向對話。被勒索的潛在可能太大了！

將相機快門靜音，讓受害者在拍照時聽不到聲音。傳輸存儲在SD卡中的歷史視頻和照片。谷歌相機已經在2019年7月完成修復

Checkmarx於2019年7月4日向谷歌指出了該漏洞，7月23日，谷歌將此漏洞提升爲“高危漏洞”級別。

8月1日，谷歌證實了Checkmarx研究人員懷疑的漏洞的確存在，谷歌相機確實會影響其它搭載安卓系統的移動設備，該漏洞被命名爲CVE-2019-2234。

安卓被曝嚴重漏洞8月下旬，谷歌確認三星設備的相機受到了影響，兩家公司都批准了公開此漏洞的存在。

谷歌公司稱，相機應用程序中的漏洞已經在2019年7月修復並通過Google Play商店更新，同時也爲其它供應商提供了補丁。

“我們很感激Checkmarx引起了我們對這個問題的關注，並且與谷歌及安卓的供應商協商披露了這一問題。該問題已經在7月份解決，我們對Google Play商店的谷歌相機進行了更新，所有的合作伙伴都可以使用這個補丁。”

在這裏，強烈建議所有用戶將安卓系統升級到最新版本，以確保你的設備上使用的是最新的相機App。