安卓被曝严重漏洞：不经过你同意APP能随意访问相册

安卓被曝严重漏洞：不经过你同意APP能随意访问相册

   安卓操作系统目前是世界最主流的手机操作系统之一，可以说基本上至少有一半的手机都是安卓系统，可是，就是这样一个使用人数众多的系统，安卓系统被曝严重漏洞，该漏洞显示，可以不经过你同意，APP就能随意访问你手机里的相册。

安卓手机

安卓被曝严重漏洞

安卓系统的相机App中出现了一个新的漏洞，至少有数百万台安卓设备受到影响，这个漏洞导致其它App在没有获得必要权限的情况下可以拍摄视频、照片并从储存器中提取GPS数据。

安卓的App通常会开放照相等多项功能以供同一设备上的其它App使用，但是为了使用这些功能，其它App必须预先获得相应的权限。

针对谷歌和三星，Checkmarx的研究人员在今天披露了一个新的漏洞，即使其它App没有获得谷歌App的权限，它们也一样可以拍照、录制视频或者获取设备位置。

这一漏洞被命名为CVE-2019-2234，据称，如果该问题在2019年7月之前未被解决，将会影响到谷歌相机和三星相机的正常使用。

“监控”

绕过拍照和录制视频的权限申请

经过对谷歌Pixel的相机App的分析，Checkmarx研究人员发现许多权限结合在一起便可以操纵设备的相机，进而拍摄照片或录制视频。

一般而言，一款应用想要录制视频、拍摄照片或者获取设备位置，必须获得以下权限：安卓相机使用权限、安卓视录制权限、获取精确位置权限以及获取粗略位置权限。

Checkmarx的研究人员发现具有“存储”权限的App竟然可以访问设备上SD卡的全部内容，同时该APP无需获得以上权限就可以使用相机App的所有开放功能。

“安卓智能手机上恶意运行的App可以读取SD卡，该App不仅可以访问已有的照片和视频，而且可以利用这种新的攻击方法定向启动相机，从而拍摄照片或录制视频。

不仅如此，GPS的元数据通常会嵌入到照片中，攻击者可以利用这一点通过对拍摄照片或视频的EXIF数据稍加解析，便可以获取用户的定位。”

这显然是一个严重的问题，因为赛车游戏、流媒体服务甚至是天气预报等多种App会定期申请存储权限。

“也许一些App还没有对照片或视频访问产生兴趣，但不可否认的是，大量的App都合理合法的范围内申请存储权限，而这是目前最普遍的被申请权限之一。”