Android: Chyba v aplikacích na focení umožňuje sledování a nahrávání

Vytvořit aplikaci v dnešní době není tak jednoduché, jak by se mohlo zdát. I velké společnosti sem tam udělají chybu, která může vést k nestabilitě, v tom lepším ohledu. Bohužel některé chyby zapříčiňují bezpečnostní problémy, což se dotýká poměrně aktuálního problému. Za objevením zranitelnosti stojí bezpečnostní společnost Checkmarx.

Aplikace na focení pod drobnohledem

Výzkumníkům v Checkmarxu se podařilo objevit zranitelnost u aplikací na focení od společností Samsung a Google. Pro demonstraci vytvořili aplikaci pro počasí s jediným oprávněním, práce s úložištěm. Aplikace jako taková nemá oprávnění přistupovat k foťákům na mobilu, takže aplikace nemůže pořizovat záběry. Jak se ale ukázalo, ne zcela chráněné aplikace pro focení to mohou zprostředkovat.

Aplikace totiž mohou na Androidu mezi sebou komunikovat, respektive si posílat záměry k nějakým činnostem. Na základě různých pravidel, schválených aplikací a oprávnění následně mezi sebou komunikují nebo si vyměňují data. Bohužel aplikace pro focení od Samsungu a Googlu neměly toto dobře vyřešené, takže potenciálně nebezpečná aplikace se mohla dostat k možnosti natáčení videa nebo pořizování fotografií. Vzhledem k tomu, že aplikace na počasí má přístup k úložišti, může si zjistit dodatečná data, jako jsou například GPS souřadnice fotek.

Vývojáři v Checkmarx implementovali do falešné aplikace na focení systém příkazů, takže je možné ji ovládat vzdáleně a pořizovat záběry bez vědomí uživatele. Checkmarx pouze informoval o problému u zmíněných společností, ale dle jejich vyjádření se může problém týkat i dalších společností, ale nedošlo na zveřejnění seznamu.

Firmy Samsung i Google byly o problému informovány, přičemž bezpečnostní zranitelnost dostala označení CVE-2019-2234. Vzhledem k tomu, že chyba není spojena se systémem Android, nelze vydat kumulativní opravu pro všechny mobily se systémem Android. V tomto případě musí problém opravit každá společnost, které se to týká. V tuto chvíli Google i Samsung mají opravenou verzi aplikace na focení, přičemž je již dostupná ke stažení. Ostatní výrobci byli informováni, ale není známo, kdo již aktualizoval a koho se problém týkal.

Zdroj: xda-developers.com