EN 
أكدت شركتا جوجل Google وسامسونج Samsung، وجود ثغرة أمنية جديدة في تطبيقات الكاميرا الخاصة بأجهزة أندرويد، والتي تسمح للتطبيقات الأخرى بالتقاط الصور وتسجيل الفيديو سرًا حتى إذا كان جهازك مغلقًا.
وبحسب ما ذكره موقع "zdnet" التقني، كشف باحثون من شركة تشيكماركس Checkmarx لأبحاث الأمن، عن ثغرة جديدة تسمح للتطبيقات بالتقاط الصور وتسجيل مقاطع الفيديو سرًا أو الحصول على موقع الجهاز متجاوزة أذونات النظام للقيام بذلك.
وكشف إيريز يالون Erez Yalon، مدير أبحاث الأمن في شركة Checkmarx، يوم الثلاثاء الماضي، عن الثغرات الأمنية والتي تسمي CVE-2019-2234، والتي تنجم عن مشكلات تجاوز الأذونات.
ووفقًا لشركة تشيكماركس، تؤثر هذه الثغرة على تطبيقي كاميرا جوجل Google Camera وكاميرا سامسونج Samsung Camera، ويشمل ذلك التقاط الصور وتسجيل الفيديو، حتى لو كان جهاز الضحية تم إغلاقه أو تم إيقاف تشغيل الشاشة، أو إذا كان الضحية يجري مكالمة هاتفية.
وتقول Checkmarx: "إن مصنعي الهواتف الذكية الآخرين الذين يستخدمون نظام التشغيل أندرويد، أي سامسونج، كانوا عرضة للخطر أيضًا، ونتيجة لذلك، من الممكن أن يكون مئات الملايين من المستخدمين النهائيين عرضة للاستغلال".
وبالرغم من أن جوجل صارمة عندما يتعلق الأمر بتطبيقات الهاتف المحمول التي تحصل على حق الوصول إلى المعلومات الحساسة من الكاميرا أو الميكروفون أو خدمات الموقع، ونتيجة لذلك يجب علي المستخدمين قبول طلبات الأذونات إلا أنه من الممكن تجاوز هذه المتطلبات بحسب سيناريو هجوم Checkmarx.
وعادةً ما يقوم تطبيق كاميرا أندرويد بتخزين الصور ومقاطع الفيديو على بطاقة SD، وبالتالي، فإن التطبيقات التي تتطلب الوصول إلى هذا المحتوى، تتطلب أذونات تخزين، لكن للاسف أذونات التخزين واسعة جدًا وتمنح هذه الأذونات الوصول إلى بطاقة SD بأكملها.
وأوضح الباحثون: "أن هناك عدد كبير من التطبيقات، مع حالات الاستخدام المشروعة، التي تطلب الوصول إلى هذا التخزين، ولكن ليس لديهم اهتمام خاص في الصور أو مقاطع الفيديو".
وقرر الفريق استخدام هذه المجموعة من الأذونات كأداة للهجوم، بحيث تم منح التطبيق الضار حق الوصول إلى بطاقة SD، فإنه سيكون قادرًا على الوصول إلى الصور ومقاطع الفيديو، إلى جانب ضمان إجبار تطبيق الصور على التقاط صور ومحتوى فيديو جديد.
وقال الباحثون: "يمكننا بسهولة تسجيل صوت المتلقي أثناء المكالمة ويمكننا تسجيل صوت المتصل أيضًا، ويمكن للمهاجمين من الناحية النظرية تحليل البيانات للتعرف على مكان المستخدم، وذلك تبعًا إلى أنه يجري تسجيل بيانات تعريف GPS ودمجها في الصور في كثير من الأحيان، يمكن للمهاجمين تحليل هذه البيانات نظريًا والتعرف على مكان المستخدم".
وقد تم تصميم تطبيق وهمي للطقس لإثبات المفهوم وإظهار أنه طالما كانت هناك أذونات تخزين أساسية ممنوحة، فإن هذا الهجوم ممكن، بحيث يتصل التطبيق عند فتحه بخادم الأوامر والتحكم (C2) وينتظر أن يرسل المشغل أوامر لالتقاط وسرقة الصور والفيديوهات.
ويمكن لتطبيق الطقس الوهمي أداء الوظائف التالية:
- التقاط الصور على هاتف الضحية وتحميلها على C2.
- تسجيل مقطع فيديو على هاتف الضحية وتحميله على خادم الأوامر والتحكم C2.
- تحليل الصور للحصول على علامات GPS وتحديد موقع الهاتف على الخريطة العالمية.
- إسكات الهاتف أثناء التقاط الصور وتسجيل مقاطع الفيديو.
- انتظار مكالمة صوتية وتسجيل فيديو تلقائي للضحية مع تسجيل الصوت من كلا الجانبين.
وتؤثر الثغرة الأمنية على جميع هواتف شركة جوجل، بما في ذلك تلك الموجودة خارج خط إنتاج بيكسل Pixel، وقد تم إبلاغ جوجل بنتائج الباحثين في 4 يوليو 2019، وأكدت عملاقة البحث بحلول الأول من شهر أغسطس أن المصنعين الآخرين قد تأثروا أيضًا.
وقالت جوجل في بيان: "نحن نقدر تشيكماركس للفت انتباهنا، ونعمل مع شركاء جوجل وأندرويد لتنسيق الكشف، وجرى معالجة المشكلة على أجهزة جوجل المتأثرة عبر تحديث لتطبيق كاميرا جوجل في شهر يوليو 2019، كما تم توفير التصحيح الأمني لجميع الشركاء".
وكما أكدت شركة Samsung، أحد البائعين المتأثرين، أن الثغرة الأمنية قد أثرت على أجهزتها، وقال متحدث باسم الشركة: "أصدرنا تصحيحات أمنية لمعالجة المشكلة على جميع نماذجنا المتأثرة بعد إبلاغ جوجل لنا، ونحن نقدر شراكتنا مع فريق أندرويد، الأمر الذي سمح لنا بتحديد هذه المسألة ومعالجتها مباشرةً".
