Una nuova falla consente alle applicazioni Android di accedere alla telecamera senza autorizzazione - Hack Mur@Z

Breaking

mercoledì, novembre 20, 2019

Una nuova falla consente alle applicazioni Android di accedere alla telecamera senza autorizzazione


Un'allarmante vulnerabilità di sicurezza è stata scoperta in diversi modelli di smartphone Android prodotti da Google, Samsung e altri che potrebbero consentire alle applicazioni dannose di scattare foto e registrare video in segreto - anche quando non hanno permessi specifici per farlo.

Dovete già sapere che il modello di sicurezza del sistema operativo mobile Android si basa principalmente sulle autorizzazioni dei dispositivi in cui ogni applicazione deve definire esplicitamente quali servizi, capacità del dispositivo o informazioni utente a cui vuole accedere.
Tuttavia, i ricercatori di Checkmarx hanno scoperto che una vulnerabilità, tracciata come CVE-2019-2234, in app preinstallate su milioni di dispositivi, potrebbe essere sfruttata dagli aggressori per aggirare tali restrizioni e accedere alla telecamera e al microfono del dispositivo senza alcuna autorizzazione a farlo.

Come possono gli aggressori sfruttare la vulnerabilità dell'applicazione Camera App?
Lo scenario di attacco coinvolge un'applicazione disonesta che necessita solo dell'accesso all'archiviazione del dispositivo (ad esempio, scheda SD), che è una delle autorizzazioni più comuni richieste e non suscita sospetti.

Secondo i ricercatori, semplicemente manipolando specifiche "azioni e intenzioni", un'applicazione dannosa può ingannare le app di fotocamere vulnerabili e indurle a compiere azioni per conto dell'aggressore, che può quindi rubare foto e video dalla memoria del dispositivo dopo essere stata scattata.


Poiché le app per smartphone hanno già accesso alle autorizzazioni richieste, il difetto potrebbe consentire agli aggressori di scattare foto, registrare video, intercettare conversazioni e tracciare la posizione - anche se il telefono è bloccato, lo schermo è spento o l'app è chiusa.


"Dopo un'analisi dettagliata dell'applicazione Google Camera, il nostro team ha scoperto che, manipolando azioni e intenzioni specifiche, un aggressore può controllare l'applicazione per scattare foto e/o registrare video attraverso un'applicazione canaglia che non ha i permessi per farlo", ha scritto Checkmarx in un post di un blog pubblicato oggi.

"Inoltre, abbiamo scoperto che alcuni scenari di attacco consentono ad attori malintenzionati di aggirare varie politiche di autorizzazione all'archiviazione, dando loro accesso a video e foto memorizzati, nonché ai metadati GPS incorporati nelle foto, per localizzare l'utente scattando una foto o un video e analizzando i dati EXIF appropriati. Questa stessa tecnica è stata applicata anche all'applicazione Camera di Samsung".

Per dimostrare il rischio di vulnerabilità per gli utenti Android, i ricercatori hanno creato un'applicazione rogue proof-of-concept mascherata da un'innocente applicazione meteo che richiede solo il permesso di archiviazione di base.