Уязвимость в Android позволяла злоумышленникам шпионить за пользователями через камеру телефона

Уязвимость с кодовым названием CVE-2019-2234 была обнаружена группой исследователей компании Checkmarx в приложениях камер Google и Samsung. Она позволяет хакерам делать фотографии и снимать видео на камеру смартфона в тайне от владельца, а затем пересылать весь отснятый материал на удалённые сервера. Вместе с этим злоумышленники получают информацию о местоположении пользователя, так как она «вшита» в фотографии.

Для доступа к камере смартфона на него предварительно должно быть загружено вредоносное приложение. Как выяснили специалисты по безопасности, любая программа с доступом к хранилищу устройства способна делать фотографии и записывать видео даже при выключенном или заблокированном экране, а значит пользователь даже не узнает, что за ним следят.

В качестве демонстрации уязвимости специалисты создали приложение погоды, которое для своей работы запрашивает доступ к хранилищу устройства. Получив это разрешение, программа смогла получить доступ и к камере смартфона, делая в фоне фотографии и пересылая их на удалённый сервер. Как сообщается, эта уязвимость существует с релиза Android 6.0 Marshmallow, то есть с 2015 года.

Сотрудники Checkmarx сообщили в Google о своей находке ещё 4 июля этого года, после чего поисковый гигант в том же месяце выпустил обновление своего приложения Google Camera. Samsung также подтвердила наличие данной проблемы и выпустила соответствующий апдейт. Таким образом, пользователям приложений камер от этих компаний стоит обновиться до актуальной версии, чтобы не стать жертвами мошенников.