Google Pixel の「aCropalypse」エクスプロイトにより、スクリーンショットの編集部分が反転される

Google Pixel のデフォルトのスクリーンショット編集ユーティリティであるマークアップに影響するセキュリティ上の欠陥により、画像が部分的に「未編集」になり、ユーザーが非表示にすることを選択した個人情報が明らかになる可能性があります。 以前に発見された 9to5Google と アンドロイド警察. 脆弱性は、 リバースエンジニアによって発見された Simon Aaarons と David Buchanan は、その後 Google によってパッチが適用されましたが、更新前に共有された編集済みのスクリーンショットには依然として広範な影響があります。

に詳述されているように Aaarons が Twitter に投稿したスレッド、適切な名前の「aCropalypse」の欠陥により、誰かがマークアップで編集された PNG スクリーンショットを部分的に復元できるようになります。 これには、誰かがこのツールを使用して、名前、住所、クレジット カード番号、またはスクリーンショットに含まれる可能性のあるその他の種類の個人情報をトリミングまたは走り書きした可能性があるシナリオが含まれます。 悪意のある人物がこの脆弱性を悪用して、これらの変更の一部を元に戻し、ユーザーが隠していると思っていた情報を取得する可能性があります。

今後の よくある質問ページ によって早期に取得された 9to5Google、アーロンズとブキャナンは、マークアップが元のスクリーンショットを編集されたものと同じファイルの場所に保存し、元のバージョンを決して削除しないため、この欠陥が存在すると説明しています. スクリーンショットの編集されたバージョンが元よりも小さい場合、「新しいファイルが終了したはずの後に、元のファイルの末尾部分が残されます」。

によると ブキャナンへ、このバグが最初に出現したのは約 5 年前、Google が Android 9 Pie アップデートでマークアップを導入したのとほぼ同時期です。 マークアップで編集され、ソーシャル メディア プラットフォームで共有された何年にもわたる古いスクリーンショットがエクスプロイトに対して脆弱である可能性があるためです。

FAQページには、Twitterを含む特定のサイトは、プラットフォームに投稿された画像を再処理して欠陥を取り除いているが、Discordなどの他のサイトはそうではない. Discord は、最近の 1 月 17 日の更新でエクスプロイトにパッチを当てたばかりです。つまり、その日より前にプラットフォームに共有された編集済みの画像が危険にさらされる可能性があります。 他に影響を受けるサイトやアプリがあるかどうか、もしあるとすれば、それらがどれであるかはまだ明らかではありません.

Aarons によって投稿された例 (上に埋め込まれている) は、Discord に投稿されたクレジット カードのトリミングされた画像を示しています。これも、マークアップ ツールの黒いペンを使用してカード番号がブロックされています。 Aarons が画像をダウンロードして aCropalypse の脆弱性を悪用すると、画像の上部が破損しますが、マークアップで編集された部分 (クレジット カード番号など) は引き続き表示されます。 欠陥の技術的な詳細については、 ブキャナンのブログ投稿.

Aarons と Buchanan が 1 月に欠陥 (CVE-2023-21036) を Google に報告した後、同社は 3 月にこの問題にパッチを適用しました。 セキュリティアップデート Pixel 4A、5A、7、および 7 Pro の場合、その重大度は「高」に分類されます。 脆弱性の影響を受ける他のデバイスにこの更新プログラムがいつ配信されるかは不明であり、Google はすぐには対応しませんでした。 ザ・バージの詳細情報リクエスト。 問題がどのように機能するかを自分で確認したい場合は、更新されていないバージョンのマークアップ ツールで編集したスクリーンショットをアップロードできます。 このデモページへ アーロンズとブキャナンによって作成されました。 または、いくつかをチェックアウトすることができます 怖い 例 ウェブに掲載。

この欠陥は、Google のセキュリティ チームが、Pixel 6、Pixel 7、一部の Galaxy S22 および A53 モデルに搭載されている Samsung Exynos モデムにより、ハッカーが被害者の電話番号だけを使用してデバイスを「リモートで侵害」できることを発見した数日後に明らかになりました。 Google は 3 月のアップデートでこの問題にパッチを適用しましたが、これは Pixel 6、6 Pro、および 6A デバイスではまだ利用できません。