Вразливість у системі безпеки Google Pixel, що стосується стандартної утиліти Markup, дозволяє частково «скасовувати» редагування скриншотів. Це може призвести до публікації зображень, що містять дані, які користувач хотів би приховати. Виправлення вже випущено (не для усіх моделей смартфонів), але вразливість, як і раніше, має значення для раніше відредагованих та опублікованих скриншотів.
Використовуючи вразливість, названу aCropalypse, зловмисник може частково відновити відредаговані скриншоти PNG. Видалення інформації досить поширене – ви можете приховати особисті дані у додатках або, наприклад, навести пост із соціальної мережі без згадування імен. У ряді випадків ці виправлення можна скасувати.
Вразливість пояснюється тим, що програма зберігає відредаговану інформацію разом із вихідним матеріалом. Якщо відредагована версія знімка екрана менша за оригінал, за словами Саймона Ааронса і Девіда Бьюкенена, які виявили вразливість, «кінцева частина вихідного файлу залишається там, де новий файл повинен був закінчитися». Тобто зберігається не весь невідредагований файл, а лише його частина.
На опублікованому прикладі продемонстровано поновлення інформації, зафарбованої чорним маркером. З залишкового зіпсованого фрагмента оригінального файлу легко вдалося відновити номер кредитної картки.
За даними Ааронса і Бьюкенена, ця помилка вперше з’явилася близько п’яти років тому, приблизно в той же час Google представила програму Markup з релізом Android 9. Тривалий термін існування посилює вразливість – за цей час було зроблено та опубліковано масу скриншотів.
Скриншоти, які зазнали повторної обробки, вже не можна відновити. Якщо ви опублікували скриншот у Twitter, який повторно обробляє зображення, можна не переживати з приводу наявності небажаних даних. З іншого боку, Discord та низка інших платформ публікували невідредаговані зображення (компанія також виправила цей момент).
Помилку під номером CVE-2023-21036, про яку повідомили у січні, було виправлено Google у березневому оновленні безпеки для Pixel 4A, 5A, 7 та 7 Pro. На інших Pixel загроза поки є актуальною, компанія нічого не говорить про терміни випуску «латки». Перевірити скриншот можна самостійно, для цього потрібно завантажити його на сторінку, що створена Ааронсом та Бьюкененом.
Джерело: The Verge