(资料图)

谷歌，三星和其他OEM的摄像头应用程序中发现了一个新错误，它们可以使用自己手机的摄像头秘密监视所有者。为了成功实施劫持，必须授予所有恶意应用程序数据存储权限。

Google最近一直致力于通过应用程序的隐私来保护用户数据的安全，并且该公司采用了更细粒度的权限系统，该权限系统仅视情况要求并授予对某些硬件功能的访问权限。但不幸的是，Checkmarx去年7月报告的一个错误能够使用看起来像合法的非相机应用来规避该错误。

该应用程序对用户和Google的自动反恶意软件系统都无害，甚至可能不要求访问数据存储以外的权限，可能是保存设置或文件。但是该错误将允许劫持相机应用程序，该应用程序还使用存储权限来保存照片和视频，并且能够远程和无声地控制相机应用程序拍摄照片或录制视频，甚至可以使用相机应用程序的GPS访问来获取手机的地点。

Checkmarx研究人员发现了该漏洞，并在周二的分析中说：“不幸的是，存储权限非常广泛，这些权限可以访问整个SD卡。有大量具有合法用例的应用程序请求访问此存储，但对照片或视频没有特别的兴趣。实际上，这是观察到的最常见的请求权限之一。”

虽然其他OEM的摄像头应用程序也可能会受到影响，但该漏洞已被命名为影响Google和Samsung的摄像头应用程序。遵循披露规则，安全研究小组已经在7月份通知Google有关该漏洞的信息，三星在今年8月确认了该漏洞。尽管谷歌表示该公司已经解决了该问题，但三星尚未发表声明。