牛華網(wǎng)訊北京時間11月20日消息，周二，網(wǎng)絡安全公司Checkmarx發(fā)布了一份爆炸性的報告，稱Android系統(tǒng)中存在一個重大的安全漏洞，它可以讓惡意應用無需用戶許可就能錄制視頻、拍攝照片和捕獲音頻，并將內(nèi)容上傳到遠程服務器。
Android系統(tǒng)中的這個漏洞可以讓攻擊者在未經(jīng)用戶同意的情況下獲得驚人的廣泛手機權限，這個缺陷被稱為CVE-2019-2234，它允許應用程序開發(fā)者以無與倫比的方式訪問設備的攝像頭，將用戶的手機變成間諜設備。
原本，Android系統(tǒng)應該阻止惡意應用在未經(jīng)用戶許可的情況下訪問智能手機的攝像頭和麥克風，但是這個漏洞能夠讓應用無需獲得用戶的明確許可，只需獲得訪問設備存儲空間的權限，便可以使用攝像頭和麥克風來捕獲視頻和音頻，而這通常是大多數(shù)應用發(fā)送請求，經(jīng)過用戶同意之后才會獲得的權限。
據(jù)悉，攻擊者可以使得相機快門靜音，以隱藏其未經(jīng)同意就錄制視頻和照片的事實，這些操作甚至可以在關閉惡意應用程序、關閉屏幕并鎖定手機時執(zhí)行。
這個漏洞還允許攻擊者訪問設備上存儲的媒體，以及其庫中照片和視頻上的GPS數(shù)據(jù)，它還允許應用程序開發(fā)人員竊聽通話雙方的對話并錄制音頻。
為了驗證事情的真實性，Checkmarx制作了一個類似應用，表面上來看，這個應用像是一個天氣應用，但實際上它在后臺收集大量數(shù)據(jù)。測試表明，即使Android手機屏幕或應用處于關閉狀態(tài)，這個應用也可以拍攝照片和錄制視頻，還可以訪問照片中的位置數(shù)據(jù)，甚至是監(jiān)聽您的通話。
根據(jù)Checkmarx的報告，該公司于7月初就因為這個漏洞與谷歌取得了聯(lián)系。另外，三星證實，該公司8月下旬也受到這些漏洞的影響。
谷歌發(fā)言人在一份提供給Checkmarx的聲明中表示：“我們感謝Checkmarx讓我們注意到這一點，并與谷歌和Android合作伙伴合作協(xié)調(diào)披露了相關消息。這個問題已經(jīng)在受影響的谷歌設備上得到解決，我們已經(jīng)于2019年7月對谷歌相機應用進行了Play Store更新。同時，我們還已向所有合作伙伴提供了修補程序。”
Checkmarx安全研究主管Erez Yalon在給Arstechnica的一份聲明中推測，這個漏洞可能是由于google允許其語音助理訪問設備的攝像頭造成的。
除了谷歌和三星，目前不清楚還有多少其他Android手機制造商受到了這一漏洞的影響。（完）
