牛華網訊北京時間11月20日消息，周二，網絡安全公司Checkmarx發布了一份爆炸性的報告，稱Android系統中存在一個重大的安全漏洞，它可以讓惡意應用無需用戶許可就能錄制視頻、拍攝照片和捕獲音頻，并將內容上傳到遠程服務器。
Android系統中的這個漏洞可以讓攻擊者在未經用戶同意的情況下獲得驚人的廣泛手機權限，這個缺陷被稱為CVE-2019-2234，它允許應用程序開發者以無與倫比的方式訪問設備的攝像頭，將用戶的手機變成間諜設備。
原本，Android系統應該阻止惡意應用在未經用戶許可的情況下訪問智能手機的攝像頭和麥克風，但是這個漏洞能夠讓應用無需獲得用戶的明確許可，只需獲得訪問設備存儲空間的權限，便可以使用攝像頭和麥克風來捕獲視頻和音頻，而這通常是大多數應用發送請求，經過用戶同意之后才會獲得的權限。
據悉，攻擊者可以使得相機快門靜音，以隱藏其未經同意就錄制視頻和照片的事實，這些操作甚至可以在關閉惡意應用程序、關閉屏幕并鎖定手機時執行。
這個漏洞還允許攻擊者訪問設備上存儲的媒體，以及其庫中照片和視頻上的GPS數據，它還允許應用程序開發人員竊聽通話雙方的對話并錄制音頻。
為了驗證事情的真實性，Checkmarx制作了一個類似應用，表面上來看，這個應用像是一個天氣應用，但實際上它在后臺收集大量數據。測試表明，即使Android手機屏幕或應用處于關閉狀態，這個應用也可以拍攝照片和錄制視頻，還可以訪問照片中的位置數據，甚至是監聽您的通話。
根據Checkmarx的報告，該公司于7月初就因為這個漏洞與谷歌取得了聯系。另外，三星證實，該公司8月下旬也受到這些漏洞的影響。
谷歌發言人在一份提供給Checkmarx的聲明中表示：“我們感謝Checkmarx讓我們注意到這一點，并與谷歌和Android合作伙伴合作協調披露了相關消息。這個問題已經在受影響的谷歌設備上得到解決，我們已經于2019年7月對谷歌相機應用進行了Play Store更新。同時，我們還已向所有合作伙伴提供了修補程序。”
Checkmarx安全研究主管Erez Yalon在給Arstechnica的一份聲明中推測，這個漏洞可能是由于google允許其語音助理訪問設備的攝像頭造成的。
除了谷歌和三星，目前不清楚還有多少其他Android手機制造商受到了這一漏洞的影響。（完）
