安卓爆漏洞，你的手機攝像頭會被黑客盯上？最新係統版本或可避免

安卓係統手機攝像頭可被應用程序擅自調用的現象在此前就已經引發熱議。去年，升降式攝像頭手機大火時，許多安卓係統手機都被指出在打開某些應用時，手機攝像頭在用戶未使用相機功能時自動彈出的現象。

2018年，南都曾經報道；當允許QQ瀏覽器獲取相機權限後，打開旅遊網站點擊“周邊遊”鏈接，vivo NEX的前置攝像頭突然自動升降。隨後，QQ瀏覽器緊急回應，經過測試發現確認存在調起攝像頭動作，但這一動作並不會開啟攝像頭拍攝或記錄，也不會采集用戶的任何隱私，並表示對這一使用體驗進行優化。

而另一個采取升降式攝像頭設計手機也被曝出存在同樣問題。當時南都記者在測評時，使用OPPO Find X手機打開另一款騰訊旗下產品QQ空間也出現上述現象。

Checkmarx在其博客帖子中提到，通過安卓係統相機拍攝的照片和視頻會被存儲在SD卡中，且屬於“敏感數據”類別，而應用訪問照片和視頻則需要具有特殊權限（存儲權限）。為此，AOSP（Android 開放源代碼項目）創建了應用必須向用戶請求的一組特定權限。基本上，具有存儲權限的應用可以廣泛應用整個SD卡，出於合法目的，許多應用經常請求該權限。

該公司稱，在研究該漏洞時，Checkmarx研究人員模擬黑客試圖訪問目前被廣泛應用於安卓係統相機應用的權限策略，發現此類存儲訪問範圍允許惡意應用程序在沒有特定相機權限的情況下拍攝照片和視頻，並且僅需要存儲權限即可進一步操作獲得所拍攝的照片和視頻。

此外，在另一種情形下，黑客可以繞過各種存儲權限策略，並通過拍攝的照片和視頻解析EXIF數據（“可交換圖像文件格式”：可以記錄數碼照片的屬性信息和拍攝數據），從而通過GPS元數據找到用戶當前的GPS位置。

值得注意的是，Checkmarx研究人員還找到一種方法，即使手機被鎖定或屏幕被關閉，流氓應用也可以強製相機應用程序拍照和錄製視頻。“即使用戶處於語音通話中，我們的研究人員也可以這樣做。”該公司稱。

而最初該係統漏洞僅在Google Pixel 2 XL和Pixel 3內置相機應用中發現，當該公司深入研究時發現這些漏洞也影響了部分主要的智能手機供應商，例如三星。

在今年7月，Checkmarx向穀歌提交了漏洞報告，隨後穀歌與三星公司都證實了該漏洞的影響，並表示已經修複了漏洞。漏洞修複後，Checkmarx稱穀歌與三星都表示，為了安全起見，用戶可以更新到最新版本的安卓操作係統。

南都記者了解到，如果根據9月初發布的安卓係統最新版本Android 10變更信息，或在一定程度上印證了上述漏洞消息。

Android 10變更信息顯示：在隱私權方麵對訪問攝像頭詳情和元數據的權限實施了限製，應用必須具有相機權限才能訪問此方法的返回值中可能包含的設備特定元數據。同時，對於Android 10 及更高版本為平台的應用，其訪問權限範圍限定為外部存儲，且僅包括應用文件和應用創建的照片、視頻和音頻片段。此外，應用在後台運行時訪問設備位置信息需要權限，若應用不符合以下條件之一則會被視為在後台訪問位置信息：屬於該應用的Activity 可見；該應用運行的某個前台設備已聲明前台服務類型為location。

采寫：南都記者 孔學劭實習生 廖靜娜