Google पुष्टि करता है कि एंड्रॉइड फोन पर कैमरा दोष उपयोगकर्ताओं की जासूसी करने के लिए इस्तेमाल किया जा सकता है

Google कैमरा ऐप और सैमसंग फोन में एक गंभीर भेद्यता थी, जहां शोधकर्ताओं ने दिखाया कि कैसे कैमरा ऐप का इस्तेमाल आसानी से उपयोगकर्ताओं की जासूसी करने के लिए किया जाएगा, बिना पीड़ित को यह महसूस किए कि फोटो, वीडियो ले कर ऐसा हो रहा था।

Google ने पुष्टि की है कि सिस्टम में सुरक्षा दोष के कारण, उसके एंड्रॉइड फोन के कैमरे का इस्तेमाल उपयोगकर्ताओं की जासूसी करने के लिए किया जा सकता है। (Google Pixel 3 XL की प्रतिनिधि तस्वीर)

CheckMarx Security Research Team के शोधकर्ताओं के अनुसार, Google और Samsung के Android स्मार्टफ़ोन पर कैमरा एक प्रमुख गोपनीयता जोखिम साबित हुआ था। उन्होंने पाया कि कैमरा ऐप का इस्तेमाल यूजर्स की आसानी से जासूसी करने के लिए किया जा सकता है। Google ने भेद्यता की पुष्टि की है, जो न केवल उसके पिक्सेल फोन, बल्कि अन्य विक्रेताओं को भी प्रभावित करती है। सैमसंग ने भी पुष्टि की कि वे प्रभावित हैं। दोनों ने पहले ही समस्या का समाधान जारी कर दिया है।

विवरण थे चेकमार्क्स द्वारा प्रकाशित जब उन्होंने Google और Samsung दोनों को भेद्यता के बारे में सूचित किया था। दोनों विक्रेताओं ने विवरण के प्रकाशन को मंजूरी दी, जो एक गंभीर सुरक्षा दोष को उजागर करते समय मानक प्रोटोकॉल है। Google को जुलाई 2019 की शुरुआत में भेद्यता के बारे में सूचित किया गया था।

एक बयान में, Google ने कहा, हम चेकमारक्स की सराहना करते हैं कि इसे हमारे ध्यान में लाया जाए और प्रकटीकरण के समन्वय के लिए Google और Android भागीदारों के साथ काम किया जाए। जुलाई 2019 में Google कैमरा एप्लिकेशन में Play Store अपडेट के माध्यम से प्रभावित Google उपकरणों पर समस्या का समाधान किया गया था। सभी भागीदारों के लिए एक पैच भी उपलब्ध कराया गया है।

तो क्या हुआ? शोधकर्ताओं का कहना है कि उन्हें Pixel 2 XL और Pixel 3 डिवाइस पर Google कैमरा ऐप में समस्याएं मिलीं। भेद्यता एंड्रॉइड पर अनुमति बाईपास मुद्दों से आई थी। अधिक शोध से पता चला है कि एंड्रॉइड इकोसिस्टम में अन्य स्मार्टफोन विक्रेताओं के कैमरा ऐप्स की खामियां प्रभावित हुई हैं।

सुरक्षा भेद्यता (संख्या CVE-2019-2234) ने एक हमलावर को एक दुष्ट एप्लिकेशन के माध्यम से फ़ोटो, वीडियो लेने के लिए कैमरा ऐप को नियंत्रित करने की अनुमति दी, जिसके पास ऐसा करने की स्पष्ट अनुमति नहीं थी। शोधकर्ताओं ने पाया कि कुछ हमले परिदृश्यों में दुर्भावनापूर्ण अभिनेता विभिन्न भंडारण अनुमति नीतियों को दरकिनार करने में सक्षम थे। इससे उन्हें संग्रहीत फ़ोटो, वीडियो और उनमें एम्बेडेड GPS मेटाडेटा तक पहुंच प्राप्त हुई, जिसका उपयोग उपयोगकर्ता की जासूसी करने के लिए किया जा सकता था क्योंकि वे अनजान थे।

इस भेद्यता के कारण शोधकर्ता क्या करने में सक्षम थे?

उन्होंने एक मॉकअप दुर्भावनापूर्ण मौसम ऐप डिज़ाइन किया, जो हैकर के कमांड एंड कंट्रोल (सी एंड सी) सर्वर से जुड़ा था, जो इस मामले में चेकमार्क्स टीम थी। भेद्यता का फायदा उठाते हुए, शोधकर्ताओं ने पाया कि वे समझौता किए गए एंड्रॉइड फोन पर निम्नलिखित कार्य कर सकते हैं:

सबसे पहले, वे पीड़ित के फोन पर तस्वीरें लेने और सी एंड सी सर्वर पर अपलोड करने में सक्षम थे, जो कि स्पाइवेयर वास्तव में करता है।

दूसरा, वे पीड़ित के फोन पर एक वीडियो रिकॉर्ड करने में सक्षम थे और इसे सी एंड सी सर्वर पर भी भेज सकते थे।

तीसरा, वे फोन पर ली गई सभी तस्वीरों के लिए जीपीएस टैग भी प्राप्त कर सकते हैं और वैश्विक मानचित्र पर फोन का पता लगा सकते हैं, इस प्रकार आसानी से पता लगा सकते हैं कि उपयोगकर्ता कहां मौजूद है।

चौथा, फोन को स्टील्थ मोड में संचालित किया जा सकता था, और फोटो और वीडियो लिए गए थे, जबकि उपयोगकर्ता को यह महसूस नहीं होगा कि ऐसा हो रहा है।

पांचवां, शोधकर्ता वॉयस कॉल को रिकॉर्ड करने में भी सक्षम थे, जिसमें पीड़ित पक्ष से वीडियो और बातचीत के दोनों पक्षों का ऑडियो शामिल था।

शोधकर्ताओं ने दिखाया कि वे दुष्ट ऐप को फ़ोन के लॉक होने पर भी फ़ोटो लेने के लिए फ़ोन का कैमरा दिलाने में सक्षम थे। वे वॉयस कॉल के बीच में भी ऐसा करने में सक्षम थे।

शोधकर्ताओं ने स्टोरेज अनुमति का फायदा उठाया जो एंड्रॉइड कैमरा एप्लिकेशन को दी गई है, क्योंकि उसे फोन के आंतरिक स्टोरेज पर संग्रहीत फोटो और वीडियो तक पहुंचना है। चूंकि भंडारण अनुमतियां बहुत व्यापक हैं, इसलिए वे संपूर्ण भंडारण तक पहुंच प्रदान करते हैं, जिसका दुष्ट एप्लिकेशन शोषण करता है।

भेद्यता को पहली बार 4 जुलाई को रिपोर्ट किया गया था, और Google ने 23 जुलाई तक गंभीरता को 'उच्च' स्तर तक बढ़ा दिया। अगस्त में, Google ने पुष्टि की कि अन्य भी प्रभावित हुए थे, और अगस्त के अंत तक, सैमसंग ने पुष्टि की कि वे भी कमजोर थे। यदि आप Google या सैमसंग फोन का उपयोग कर रहे हैं, तो यह जांचना सबसे अच्छा है कि कैमरा ऐप अपडेट किया गया है, और आपने इनमें से कोई भी सुरक्षा अपडेट नहीं छोड़ा है।