Google : votre caméra pouvait vous filmer à votre insu

Après l’affaire du bug Facebook qui permettait d’enclencher la caméra de votre smartphone, voici le même type de possibilité d’espionnage avec Google.

Une vulnérabilité permettait de déclencher votre caméra de smartphone à votre insu ! Le type de bug qui est devenu la star de cette fin d’année.

Après Facebook, voici venir Google. Cette faille de l’application Caméra de Google permettait aux applications tierces de prendre des photos et des vidéos sans autorisation. Autant dire, aucune information pour l’utilisateur. Aucune alerte lors des prises de vue.

Caméra de smartphone versus Big Brother

Après une analyse détaillée de l’application Google Camera, des chercheurs ont découvert qu’en manipulant des actions et des intentions spécifiques, un attaquant pouvait contrôler l’application pour prendre des photos et / ou enregistrer des vidéos via une application non autorisée, et ne disposant pas de l’autorisation de le faire.

De plus, certains scénarios d’attaque permettaient aux acteurs malveillants de contourner diverses règles d’autorisation de stockage. Cela leur donnait accès aux vidéos et aux photos stockées. En bonus, accès aux métadonnées GPS incorporées dans les photos. Cela offrait la possibilité de localiser l’utilisateur en prenant une photo ou une vidéo et en analysant le contenu adéquat.

Cette même technique fonctionnait sur les appareils photo des téléphones Samsung.

Cerise sur le gâteau, un moyen offrait à une application, sans autorisation, de forcer l’appareil photo à prendre des photos et à enregistrer des vidéos. Même si le téléphone est en mode verrouillage. Même action avec l’écran éteint.

Possible aussi de le faire lorsqu’un utilisateur était en train de passer un appel vocal.

Problème résolu sur les appareils Google via une mise à jour de Play Store en juillet 2019. Un correctif mis à la disposition de tous les partenaires.

Cette alerte est notifiée CVE-2019-2234. Elle est signée par Checkmarx.