Podatność pozwalała zewnętrznym aplikacjom na dostęp do rejestrowania obrazu i dźwięku przez kamerę oraz mikrofon wbudowane w smartfona. Potencjalni cyberprzestępcy mogli bez wzbudzania podejrzeń u użytkownika urządzenia przesyłać je na swoje serwery i tym samym szpiegować ofiarę przez dłuższy czas.
Błąd w systemie Android został wykryty przez specjalistów z firmy Checkmarx, którzy oceniają, że stwarza on szczególne zagrożenie dla osób mogących stanowić cel ukierunkowanych ataków hakerskich lub działań szpiegowskich sponsorowanych przez państwa, takich jak dziennikarze, biznesmeni czy politycy.
Podatność zarejestrowana pod nazwą kodową CVE-2019-2234 pozwala na łatwe obejście wbudowanych w system Android zabezpieczeń mających stanowić barierę dostępu do rejestrowania obrazu i dźwięku bez zezwolenia przez zewnętrzne aplikacje. Aby obejść ograniczenia, złośliwy program musi posiadać jedynie zezwolenie na dostęp do odczytu i zapisu danych z pamięci urządzenia – co stanowi jedno z najbardziej popularnych uprawnień dostępowych, jakich domagają się instalowane przez użytkowników Androida aplikacje.
Cyberprzestępcy mogą wykorzystywać błąd również do śledzenia fizycznego miejsca pobytu swoich ofiar – o ile w ustawieniach aparatu fotograficznego w telefonie nie została wyłączona funkcja rejestrowania w metadanych lokalizacji GPS użytkownika. Według Checkmarx błąd pozwala także na pobieranie przez potencjalnych hakerów wszystkich zdjęć zapisanych w telefonie, a nawet na wyciszanie dźwięku migawki w aparacie, by utrudnić wykrycie szpiegowania.
Przedstawiciele Google’a poinformowali, że podatność wykryta przez Checkmarx była znana firmie i wydano stosowną aktualizację neutralizującą jej działanie w lipcu tego roku. Firma udostępniła również łatkę zabezpieczającą producentom smartfonów, z którymi współpracuje.
Samsung natomiast nie ujawnił, kiedy naprawił błąd w swoich telefonach, podkreślił jednak, że został powiadomiony o jego istnieniu przez Google i zareagował wydając aktualizacje bezpieczeństwa dla wszystkich modeli swoich smartfonów z Androidem, których dotyczył problem.
