這個(gè)漏洞可能會(huì)威脅到億萬(wàn)人的信息安全，幸好Google和Samsung已經(jīng)解決了這一問(wèn)題。

Android系統(tǒng)被曝出一個(gè)嚴(yán)重的安全漏洞，可以讓?xiě)?yīng)用繞過(guò)用戶許可秘密錄制視頻。

以色列安全公司Checkmarx，在研究谷歌智能手機(jī)Pixel 2XL和Pixel 3的谷歌相機(jī)應(yīng)用時(shí)，發(fā)現(xiàn)了這個(gè)漏洞，代號(hào)為CVE-2019-2234。除了谷歌手機(jī)之外，三星手機(jī)上也發(fā)現(xiàn)這樣的漏洞。三星是目前全球用戶數(shù)最多的安卓機(jī)廠商，系統(tǒng)底層的漏洞可能會(huì)影響數(shù)億人的信息安全。

這個(gè)漏洞使得惡意應(yīng)用無(wú)需用戶許可就能錄視頻、拍照片，在你打電話時(shí)還會(huì)錄制音頻，并將這些信息上傳至服務(wù)器。拍照或錄視頻時(shí)，還會(huì)關(guān)閉智能手機(jī)的聲音，這樣就不會(huì)有相機(jī)快門(mén)的聲音提醒用戶。此外，它還可以確定你的位置信息：從拍攝的照片中捕捉GPS標(biāo)簽，并使用這些標(biāo)簽在全球地圖上定位用戶的位置。更要命的是，無(wú)論智能手機(jī)是否解鎖，都可以進(jìn)行拍照和錄像。

所有這些都是在后臺(tái)悄無(wú)聲息地進(jìn)行的，用戶并不知情。

通常來(lái)說(shuō)，Android會(huì)阻止應(yīng)用在未經(jīng)用戶許可的情況下訪問(wèn)智能手機(jī)攝像頭和麥克風(fēng)，但這個(gè)漏洞的存在，使得應(yīng)用可以輕松繞過(guò)用戶的許可。為了驗(yàn)證這個(gè)漏洞，Checkmarx開(kāi)發(fā)了一個(gè)天氣應(yīng)用，這類應(yīng)用在谷歌Play Store中一直很流行。這個(gè)應(yīng)用不需要任何特殊的權(quán)限，只需獲得基本的存儲(chǔ)訪問(wèn)，即可調(diào)用攝像頭和麥克風(fēng)，從而進(jìn)行上述那些有安全危險(xiǎn)的操作。

這個(gè)應(yīng)用程序與控制服務(wù)器相連，用戶安裝并啟動(dòng)應(yīng)用程序后，它將創(chuàng)建與控制服務(wù)器的持久連接，然后等待攻擊者的指令。

今年7月4日，Checkmarx向谷歌的Android安全團(tuán)隊(duì)提交了關(guān)于這個(gè)漏洞的報(bào)告，谷歌最初將其的嚴(yán)重程度設(shè)置為中等，隨后調(diào)為高級(jí)。8月1日，谷歌證實(shí)了這些漏洞影響了更廣泛的Android生態(tài)系統(tǒng)，波及多家設(shè)備廠商，8月29日，三星證實(shí)該漏洞影響了他們的設(shè)備。

好在目前谷歌和三星都已修補(bǔ)了這一漏洞，在漏洞修復(fù)后，谷歌和三星向外界公布了這一漏洞的消息。為了保證信息安全，用戶可以更新到最新版本的Android操作系統(tǒng)。

網(wǎng)絡(luò)威脅情報(bào)專家伊恩·桑頓·特朗普(Ian Thornton-Trump)表示，如果黑帽發(fā)現(xiàn)了該漏洞，他們可以輕松地從研究中獲利數(shù)十萬(wàn)美元。盡管Google可以快速修復(fù)此漏洞，但鑒于漏洞的嚴(yán)重性，Google還是花時(shí)間使用“零”項(xiàng)目的一部分(由Google 2014宣布的Internet Security Project，其團(tuán)隊(duì)成員主要是來(lái)自Google的安全工程師)，深入了解Android操作系統(tǒng)并提高Android設(shè)備的安全性。