北京時間11月20日早間消息，安全公司Checkmarx發(fā)現(xiàn)谷歌、三星等公司的Android智能手機(jī)存在安全漏洞，該漏洞允許惡意應(yīng)用程序在未經(jīng)用戶許可的情況下錄制視頻、拍照、捕獲音頻以及上傳內(nèi)容。對于遠(yuǎn)程服務(wù)器來說，該漏洞可能會導(dǎo)致高價值目標(biāo)的周圍環(huán)境被智能手機(jī)非法記錄。

Android 應(yīng)該阻止應(yīng)用程序在未經(jīng)用戶許可的情況下訪問智能手機(jī)攝像頭和麥克風(fēng)，但此漏洞允許應(yīng)用程序在沒有獲得用戶明確許可的情況下，只需獲取設(shè)備存儲的訪問權(quán)限即可使用攝像頭和麥克風(fēng)。捕獲視頻和音頻，這通常是大多數(shù)應(yīng)用程序要求的權(quán)限。

為了弄清楚這個漏洞是如何工作的，Checkmarx 開發(fā)了一款概念驗證應(yīng)用程序，它看起來像一個天氣應(yīng)用程序，但實際上會在后臺收集大量數(shù)據(jù)。測試發(fā)現(xiàn)，即使手機(jī)屏幕或應(yīng)用程序關(guān)閉時，該應(yīng)用程序也可以拍照和錄制視頻，并且還可以訪問照片中的位置數(shù)據(jù)。該應(yīng)用程序以隱身模式運(yùn)行，消除相機(jī)快門聲音，記錄雙向電話，并將所有數(shù)據(jù)上傳到遠(yuǎn)程服務(wù)器。

當(dāng)測試人員利用此漏洞時，受感染智能手機(jī)的屏幕會顯示攝像頭，同時錄制視頻或拍照，讓受影響的用戶知道發(fā)生了什么。當(dāng)智能手機(jī)顯示屏不可見或設(shè)備朝下時，可以秘密利用該漏洞，并且可以使用接近傳感器來確定智能手機(jī)何時朝下的功能。

谷歌通過7 月份發(fā)布的相機(jī)更新解決了Pixel 手機(jī)的缺陷，三星也修復(fù)了該缺陷，但具體時間尚不清楚。谷歌表示：我們感謝Checkmarx 提請我們關(guān)注此事，并與谷歌和Android 合作伙伴協(xié)調(diào)披露相關(guān)信息。受影響的Google 設(shè)備上的此問題已通過2019 年7 月的Google 相機(jī)應(yīng)用的Play 商店更新得到解決。我們還向所有合作伙伴提供了補(bǔ)丁。

三星表示：自從收到谷歌關(guān)于此問題的通知后，我們隨后發(fā)布了補(bǔ)丁來解決可能影響三星設(shè)備的所有問題。我們重視與Android 團(tuán)隊的合作，這使我們能夠直接識別并解決此問題。

據(jù)Checkmarx 報道，谷歌表示，其他廠商的Android 手機(jī)也可能受到此次攻擊的影響，但并未透露具體廠商和手機(jī)型號。

由于這是一個Android漏洞，因此Apple的iOS設(shè)備不受此漏洞影響。

目前尚不清楚為什么該應(yīng)用程序能夠在未經(jīng)用戶許可的情況下訪問相機(jī)。 Checkmarx 推測這可能與谷歌決定讓相機(jī)與Google Assistant 配合使用有關(guān)，其他制造商可能已經(jīng)啟用了該功能。 （唐風(fēng)）