به تازگی آسیب‌پذیری در دستگاه‌های تولیدی توسط شرکت‌های گوگل و سامسونگ شناسایی شده است. بهره‌برداری از این آسیب‌پذیری‌ها به برنامه‌های کاربردی مخرب اجازه می‌دهد تا به‌طور مخفیانه عکس گرفته و یا ویدئو ضبط کند. این برنامه‌ها ممکن است دارای مجوزهای ویژه‌ای نیز نباشند. شما باید مطلع باشید که مدل امنیتی در آخرین نسخه از سیستم عامل اندروید به‌گونه‌ای است که برنامه‌ی مورد نظر باید در دستگاه هدف مشخص کند که چه مجوزهایی را به‌طور ویژه درخواست دارد.
این آسیب‌پذیری جدید دارای شناسه‌ی CVE-2019-2234 است و در برنامه‌های دوربین از پیش‌نصب‌شده وجود دارد. این برنامه بر روی میلوین‌ها دستگاه شرکت گوگل و سامسونگ نصب شده است. مهاجم با بهره‌برداری از این آسیب‌پذیری می‌تواند تمام محدودیت‌های داشتن مجوز در اندروید را دور زده و بدون داشتن هیچ‌گونه مجوزی به دوربین و میکروفون دستگاه قربانی دسترسی پیدا کند.
در سناریوی حمله از یم برنامه‌ی جعلی استفاده می‌شود که درخواست‌های مربوط به بخش ذخیره‌سازی را دارد. این درخواست مجوز جزو درخواست‌های معمول بوده و شک‌برانگیز نیست. به دلیل اینکه برنامه‌های دوربین دارای مجوزهای موردنیاز هستند، در ادامه مهاجم می‌تواند با بهره‌برداری از این آسیب‌پذیری عکس بگیرد، ویدئو ضبط کند و مکان کاربران را ردیابی کند حتی اگر دوربین یا صفحه‌ی نمایش قفل بوده یا برنامه بسته شده باشد.
برای نشان دادن ریسک مربوط به این آسیب‌پذیری، محققان امنیتی برنامه‌ی جعلی را برای اثبات مفهومی توسعه دادند که یک برنامه‌ی ساده‌ی آب و هوا بود و مجوزهای ذخیره‌سازی را درخواست می‌کرد. برنامه‌ی اثبات مفهومی از دو بخش تشکیل شده است. یک مورد برنامه‌ی کلاینت است که بر روی دستگاه اندروید قربانی نصب می‌شود و دیگری یک سرور دستور و کنترل است. برنامه‌ی جعلی دارای قابلیت پایداری است و با بسته شدن برنامه در دستگاه اندرویدی، ارتباط با سرور پایان نمی‌یابد. محققان همچنین ویدئویی را از بهره‌برداری موفقیت‌آمیز از این آسیب‌پذیری را منتشر کردند و تایید شده که تمامی مدل‌های دستگاه‌های شرکت گوگل تحت تاثیر این آسیب‌پذیری قرار گرفته‌اند.
محققان امنیتی در اوایل ماه جولای همراه با برنامه‌ی اثبات مفهومی و ویدئوی ضبط‌شده، وجود این آسیب‌پذیری را به شرکت گوگل اطلاع دادند. گوگل این آسیب‌پذیری را تایید کرده و آن را در دستگاه‌های پیکسل با به‌روزرسانی دوربین در ماه جولای وصله کرد. گوگل در اواخر آگوست نیز به دیگر شرکت‌های تولیدکننده تلفن همراه اندرویدی، وجود این آسیب‌پذیری را اطلاع داد.
هرچند گوگل نام شرکت‌هایی که تجهیزات آن‌ها تحت تاثیر قرار گرفته و مدل دستگاه‌ها را افشاء نکرده است. محققان این آسیب‌پذیری را به شرکت سامسونگ نیز اطلاع دادند. سامسونگ نیز در اواخر آگوست این آسیب‌پذیری را تایید کرده و وصله کرد. به کاربران توصیه می‌شود اطمینان حاصل کنند از آخرین نسخه‌ی برنامه‌ی دوربین بر روی تجهیزات اندروید استفاده می‌کنند. همچنین ضروری است کاربران آخرین نسخه‌ی سیستم عامل و آخرین نسخه‌ی برنامه‌ها را اجرا کنند.
