Gli ingegneri Simon Aarons e David Buchanan hanno rivelato un difetto di sicurezza che interessa l’utilità di modifica degli screenshot predefinita dei Google Pixel, denominata Markup. Ciò consente alle immagini di diventare parzialmente “non modificate“, rivelando potenzialmente informazioni personali che gli utenti intendevano nascondere.
La vulnerabilità è stata già risolta da Google tramite un aggiornamento, da applicare quanto prima per chiunque abbia un dispositivo interessato dal difetto. Tuttavia, questa modifica non ha alcun effetto sugli screenshot modificati che sono stati condivisi online prima di questo aggiornamento.
Indice degli argomenti
Parti di immagini ritagliate riprendono vita con aCropalypse
In sostanza, aCropalypse consente a chiunque di acquisire uno screenshot PNG ritagliato con lo strumento di markup predefinito di Android e annullare almeno alcune delle modifiche per produrre parti dell’immagine che non erano destinate alla visualizzazione.
Sebbene l’exploit sia stato segnalato a Google e sia stato corretto nell’aggiornamento di sicurezza di marzo per gli smartphone Pixel (vulnerabilità nota come CVE-2023-21036), le immagini redatte inviate negli ultimi anni su determinate piattaforme, tra cui (ma non solo) Discord, Telegram e WhatsApp prima di metà gennaio, potrebbero essere a rischio di esposizione.
Buchanan afferma che il difetto esiste da circa cinque anni e lo hanno segnalato a Google lo scorso gennaio. È apparso quando Google ha introdotto Markup con l’aggiornamento di Android 9 Pie. Ciò significa quindi che gli screenshot più vecchi, modificati con Markup e condivisi su piattaforme di social media, potrebbero essere vulnerabili all’exploit.
I problemi, lato tecnico, sembrano derivare da una modifica ad un’API in Android 10. Prima della modifica, un’app incaricata di scrivere nuovi dati in un file esistente troncava detto file per impostazione predefinita se la quantità di quei nuovi dati era inferiore a quella contenuta nel file originale. Con la modifica, quel comportamento di troncamento non era più predefinito.
Pertanto, se la quantità di nuovi dati fosse inferiore a quella contenuta nel file esistente, poiché la scrittura dei dati avviene in sequenza, il backend del file esistente rimarrebbe intatto come parte del nuovo file.
Quali sono i rischi
A fronte di questa ricerca gli esperti hanno anche condiviso i dettagli dei risultati con un tool online per testare la vulnerabilità.
Per quanto riguarda l’effettivo sfruttamento nel mondo pratico, questa vulnerabilità trova purtroppo riscontri abbastanza efficaci.
In effetti, mentre alcune piattaforme social o di messaggistica istantanea operano un’elaborazione interna dell’immagine che gli utenti caricano sui loro sistemi, altre piattaforme non modificano adeguatamente (così da sfuggire a questa vulnerabilità) le immagini in upload, come accade su Discord.
Normalmente, le piattaforme attivano una ulteriore compressione dell’immagine e modifica/eliminazione dei metadati, ma Discord ante 17 gennaio ha sempre avuto questa caratteristica quindi, potenzialmente, ogni immagine modificata con gli smartphone Pixel e condivisa su Discord dal 2019 è vulnerabile e potrebbe far esporre parti precedente nascoste di essa.
