La cámara del móvil es probablemente uno de los elementos más sensibles que tenemos, ya que si no está protegida como es debido, un atacante puede hacer fotos y grabar vídeo cuando quiera. Ahora, un grupo de investigadores de la empresa Checkmarx ha descubierto una grave vulnerabilidad presente en la aplicación de la cámara.

Para encontrar posibles fallos, los investigadores de Checkmarx decidieron analizar las aplicaciones de la cámara de los Pixel (2 XL / 3), donde descubrieron todo tipo de fallos que permitían saltarse los permisos de acceso del sistema operativo. La vulnerabilidad, con código CVE-2019-2234, permite a un atacante tomar fotos o vídeo a través de una aplicación maliciosa que no tiene permisos para hacerlo, además de poder acceder a los archivos locales del móvil y a los datos de ubicación presentes en los metadatos de cada uno de esos archivos.

Mediante la aplicación maliciosa, los investigadores consiguieron que el móvil tomase fotos y vídeo cuando el móvil está bloqueado o con la pantalla apagada, o incluso en medio de una llamada de teléfono, grabando así todo el contenido de la llamada. Para ello, en lugar de intentar que el usuario concediera permiso a la app para usar la cámara, buscaron aprovecharse de la aplicación de la cámara en sí. Lo único que necesitaba la app maliciosa eran permisos de acceso al almacenamiento, lo cual piden muchas otras apps en la actualidad.

En primer lugar, crearon una aplicación que se hacía pasar por una del tiempo, que creaba una conexión persistente entre el móvil del usuario y el servidor de control en manos del atacante para recibir comandos e instrucciones. La aplicación mantenía esa conexión incluso aunque estuviese cerrada.

Esa aplicación podía saltarse las solicitudes de permisos y forzar a la aplicación de la cámara de Google a que tomase fotos y grabase vídeos en secreto. En el siguiente vídeo podemos ver cómo un atacante puede aprovecharse de la vulnerabilidad en un Pixel 2 XL con Android 9, donde podemos ver cómo con sólo pulsar "Take Photo" abre la cámara, hace una foto, y cierra la app. A los pocos segundos recibe la foto y su ubicación:

Google y Samsung han confirmado que sus aplicaciones de la cámara se encuentran afectadas, lo cual es lógico porque Google ofrece el código base de esas apps a los fabricantes. Por ello, es probable que otros muchos estén afectados. Ambos fabricantes ya han lanzado actualizaciones de seguridad para parchear el fallo.

Esto pone de manifiesto otro de los problemas de los permisos de Google, donde una aplicación sólo debería poder acceder a una carpeta relacionada con su uso (por ejemplo, la app de cámara sólo a DCIM), y luego crear un permiso adicional para poder acceder a todas las carpetas, como el que puede requerir un explorador de archivos.

Fuente: ADSLZone | Checkmarx