Android Camera Apps中的高危缝隙安全公告

颁布功夫 2019-11-22

缝隙编号和级别


CVE编号：CVE-2019-2234，危险级别：高危，CVSS分值：官方未评定


影响版本


Android Camera Apps


缝隙概述


Checkmarx 安全钻研团队的钻研人员暗示，任何利用法式在不具备具体权限的情况下均可节造谷歌的安卓摄像头 app 并进行多项活动，蕴含录造视频，拍照，录造语音电话，跟踪用户的地位。即便手机锁定且屏幕关关的情况也不例表。


该团队将钻研了局奉告谷歌，后者通知了其它安卓厂商，其中三星已确认其智能手机中也存在这些缝隙。谷歌指出其它原始设备造作厂商也确认了这些缝隙的存在，影响全球数亿台设备。


该团队在汇报中注明的是从 Pixel 2和 Pixel 3 设备上找到的缝隙，不外谷歌所有的手机模型均存在这些被统称为 CVE-2019-2234 的缝隙问题。


钻研人员的分析沉点放在装置在Google智能手机（com.google.android.GoogleCamera软件包）上的摄像头利用法式中，以搜索任何缝隙。钻研人员把持了特定的作为和意图，发现攻击者能够节造Google Camera利用法式使用未经许可的恶意利用法式来拍照和/或录造视频。钻研人员还发现，在特定前提下，攻击者能够绕过各类存储权限战术，以接见存储的视频和照片，以及嵌入在照片中的GPS元数据以通过拍摄照片或视频并分析有关的EXIF数据来定位用户。


缝隙验证


POC：https://info.checkmarx.com/hubfs/Reports/Android_Camera_Vulnerability_Report_FINAL_v2_(002).pdf?utm_campaign=Vulnerability%20Report%20191119%20-%20Android%20Camera%20App。


视频：https://youtu.be/XJAMJOVoVyw。


建复建议


2019年7月在利用商店中颁布了 Google Camera Application的更新建复了受影响的谷歌设备中的问题。


参考链接


https://info.checkmarx.com/hubfs/Reports/Android_Camera_Vulnerability_Report_FINAL_v2_(002).pdf?utm_campaign=Vulnerability%20Report%20191119%20-%20Android%20Camera%20App