Android: bug fotocamera consentiva accesso a malintenzionati

È stata resa nota una vulnerabilità molto pericolosa che ha afflitto nei mesi scorsi la fotocamera del sistema operativo di Google, con potenziali gravi danni a livello di privacy dell’utente.

La scoperta di Checkmarx risale allo scorso luglio, confermata poi da Google, ma solo oggi è stato possibile rendere l’informazione pubblica, ovvero quando sia Big G che tutti i suoi partner hanno già avuto modo di rilasciare patch di sicurezza che mettono al riparo gli utenti di tutto il mondo.

La vulnerabilità, conosciuta come CVE-2019-2234, consentiva a qualunque malintenzionato di accedere allo smartphone della vittima e di prendere il controllo in diversi modi.

Il test della società di sicurezza

Scovato in un primo momento sull’applicazione della fotocamera dei device Pixel, ben presto i ricercatori hanno scoperto che il metodo per infettare lo smartphone era facilmente replicabile anche su dispositivi Samsung e di altre marche diffuse.

In primo luogo, hanno realizzato una fittizia applicazione malevola che non faceva altro che richiedere all’utente l’autorizzazione di accesso all’archivio dello smartphone: si tratta di una delle richieste più diffuse da parte delle applicazioni che quotidianamente scarichiamo dai store digitali e, all’apparenza, la più innocua tra tutte.

Senza quindi nemmeno richiedere l’accesso alla fotocamera, la finta applicazione per le previsioni meteo, messa a punto dal team di sicurezza, è riuscita ad accedere alle fotografie e ai video registrati dallo smartphone infettato.

Ma non solo: la finta applicazione malevola è riuscita a fare altre cose inquietanti come scattare foto e registrare video attraverso la fotocamera dello smartphone e inviarli su un server esterno, registrare l’audio delle telefonate, realizzare video durante le telefonate stesse, oltre ad accedere ai tag GPS di tutte le foto per localizzare il proprietario dello smartphone.
Il tutto in maniera silenziosa e in background, senza che il proprietario dello smartphone potesse ipoteticamente accorgersi di nulla, e indipendentemente dal blocco del device.

Il bug, confermato prima da Google e poi da Samsung nel mese di agosto, è stato risolto da Mountain View attraverso il rilascio di un aggiornamento dell’applicazione della fotocamera: tutti i proprietari degli smartphone che, dopo luglio, hanno aggiornato l’app fotocamera possono dunque stare tranquilli – almeno per il momento.