تطبيق كاميرا أندرويد يتيح تسجيل الفيديو دون إذن

البوابة العربية للأخبار التقنية البوابة العربية للأخبار التقنية

أكدت جوجل وسامسونج وجود ثغرة جديدة في تطبيقات كاميرا مئات الملايين من أجهزة أندرويد التي قد تسمح للتطبيقات الأخرى بتسجيل الفيديو والتقاط الصور واستخراج بيانات GPS من الوسائط دون الحصول على الأذونات المطلوبة.

وكشف باحثون من شركة تشيكماركس Checkmarx عن ثغرة جديدة تسمح للتطبيقات بالتقاط الصور وتسجيل مقاطع الفيديو سرًا أو الحصول على موقع الجهاز حتى لو لم يكن لديهم أذونات للقيام بذلك أو كان الجهاز مغلقًا.

وكشف إيريز يالون Erez Yalon، مدير أبحاث الأمن في شركة Checkmarx، عن الثغرات الأمنية المعروفة باسم CVE-2019-2234، والتي تنجم عن مشكلات تجاوز الأذونات.

وتؤثر هذه الثغرة على تطبيقي كاميرا جوجل Google Camera وكاميرا سامسونج Samsung Camera إذا لم يتم تحديثها منذ شهر يوليو 2019.

ووفقًا لشركة تشيكماركس، يمكن لأي تطبيق، دون أذونات محددة، التحكم في تطبيق Google Camera، ويشمل ذلك التقاط الصور وتسجيل الفيديو، حتى لو تم إغلاق الجهاز المستهدف أو تم إيقاف تشغيل الشاشة، أو إذا كان الضحية يجري مكالمة هاتفية.

وتقول Checkmarx: إن مصنعي الهواتف الذكية الآخرين الذين يستخدمون نظام التشغيل أندرويد، أي سامسونج، كانوا عرضة للخطر أيضًا، ونتيجة لذلك، من الممكن أن يكون مئات الملايين من المستخدمين النهائيين عرضة للاستغلال.

وبالرغم من أن جوجل صارمة عندما يتعلق الأمر بتطبيقات الهاتف المحمول التي تحصل على حق الوصول إلى المعلومات الحساسة من الكاميرا أو الميكروفون أو خدمات الموقع، إلا أنه من الممكن تجاوز هذه المتطلبات وفقًا لسيناريو هجوم Checkmarx.

وعادةً ما يخزن تطبيق كاميرا أندرويد الصور ومقاطع الفيديو على بطاقة SD، وبالتالي، فإن التطبيقات التي تتطلب الوصول إلى هذا المحتوى، تتطلب أذونات تخزين، لكن أذونات التخزين واسعة جدًا وتمنح هذه الأذونات الوصول إلى بطاقة SD بالكامل.

وقال الباحثون: يوجد عدد كبير من التطبيقات، مع حالات استخدام مشروعة، تطلب الوصول إلى هذا التخزين، لكن ليس لها مصلحة خاصة في الصور أو مقاطع الفيديو.

وقرر الفريق استخدام مجموعة الأذونات كأداة للهجوم، بحيث إذا منح تطبيق ضار حق الوصول إلى بطاقة SD، فإنه سيكون قادرًا على الوصول إلى الصور ومقاطع الفيديو، إلى جانب ضمان إجبار تطبيق الصور على التقاط صور ومحتوى فيديو جديد.

وقال الباحثون: يمكننا تسجيل صوت المتلقي بسهولة أثناء المكالمة ويمكننا تسجيل صوت المتصل أيضًا، ويمكن للمهاجمين من الناحية النظرية تحليل البيانات للتعرف على مكان المستخدم، وذلك تبعًا إلى أنه يجري تسجيل بيانات تعريف GPS ودمجها في الصور في كثير من الأحيان.

هذا وجرى تصميم تطبيق وهمي للطقس لإثبات المفهوم وإظهار أنه طالما كانت هناك أذونات تخزين أساسية ممنوحة، فإن هذا الهجوم ممكن، بحيث يتصل التطبيق عند فتحه بخادم الأوامر والتحكم (C2) وينتظر أن يرسل المشغل أوامر لالتقاط وسرقة الصور والفيديوهات.

ويمكن لتطبيق الطقس الوهمي أداء الوظائف التالية:

• • التقاط الصور على هاتف الضحية وتحميلها على خادم الأوامر والتحكم C2.
  • تسجيل مقطع فيديو على هاتف الضحية وتحميله على خادم الأوامر والتحكم C2.
  • تحليل الصور للحصول على علامات GPS وتحديد موقع الهاتف على الخريطة العالمية.
  • إسكات الهاتف أثناء التقاط الصور وتسجيل مقاطع الفيديو.
  • انتظار مكالمة صوتية وتسجيل فيديو تلقائي للضحية مع تسجيل الصوت من كلا الجانبين.

وتؤثر الثغرة الأمنية على جميع هواتف شركة جوجل، بما في ذلك تلك الموجودة خارج خط إنتاج بيكسل Pixel، وجرى إبلاغ جوجل بنتائج الباحثين في 4 يوليو 2019، وأكدت عملاقة البحث بحلول الأول من شهر أغسطس أن المصنعين الآخرين قد تأثروا أيضًا.

وقالت جوجل في بيان: نعمل مع شركاء جوجل وأندرويد لتنسيق الكشف، وجرى معالجة المشكلة على أجهزة جوجل المتأثرة عبر تحديث لتطبيق كاميرا جوجل في شهر يوليو 2019، كما تم توفير التصحيح الأمني لجميع الشركاء.

كما أكدت سامسونج، أحد البائعين المتأثرين، أن الثغرة الأمنية قد أثرت على أجهزتها، وقال متحدث باسم الشركة: أصدرنا تصحيحات أمنية لمعالجة المشكلة على جميع نماذجنا المتأثرة بعد إبلاغ جوجل لنا، ونحن نقدر شراكتنا مع فريق أندرويد، الأمر الذي سمح لنا بتحديد هذه المسألة ومعالجتها مباشرةً.

البوابة العربية للأخبار التقنية تطبيق كاميرا أندرويد يتيح تسجيل الفيديو دون إذن

from البوابة العربية للأخبار التقنية https://ift.tt/2KD0gmH
via IFTTT