近日，以色列安全公司Checkmarx曝光其此前發現的安卓系統漏洞：部分應用程序可繞過用戶的許可調用攝像頭和麥克風，并能夠錄音、拍照甚至錄像。該公司稱，今年7月，谷歌與三星公司都證實了該漏洞的影響，并對其進行修復。南都記者注意到，谷歌于今年9月3日發布的安卓最新版本Android 10確實對攝像頭訪問權限實施了限制。

安卓系統手機攝像頭可被應用程序擅自調用的現象在此前就已經引發熱議。去年，升降式攝像頭手機大火時，許多安卓系統手機都被指出在打開某些應用時，手機攝像頭在用戶未使用相機功能時自動彈出的現象。

2018年，南都曾經報道；當允許QQ瀏覽器獲取相機權限后，打開旅游網站點擊“周邊游”鏈接，vivo NEX的前置攝像頭突然自動升降。隨后， QQ瀏覽器緊急回應，經過測試發現確認存在調起攝像頭動作，但這一動作并不會開啟攝像頭拍攝或記錄，也不會采集用戶的任何隱私，并表示對這一使用體驗進行優化。

而另一個采取升降式攝像頭設計手機也被曝出存在同樣問題。當時南都記者在測評時，使用OPPO Find X手機打開另一款騰訊旗下產品QQ空間也出現上述現象。

Checkmarx在其博客帖子中提到，通過安卓系統相機拍攝的照片和視頻會被存儲在SD卡中，且屬于“敏感數據”類別，而應用訪問照片和視頻則需要具有特殊權限（存儲權限）。為此，AOSP（Android 開放源代碼項目）創建了應用必須向用戶請求的一組特定權限。基本上，具有存儲權限的應用可以廣泛應用整個SD卡，出于合法目的，許多應用經常請求該權限。

該公司稱，在研究該漏洞時，Checkmarx研究人員模擬黑客試圖訪問目前被廣泛應用于安卓系統相機應用的權限策略，發現此類存儲訪問范圍允許惡意應用程序在沒有特定相機權限的情況下拍攝照片和視頻，并且僅需要存儲權限即可進一步操作獲得所拍攝的照片和視頻。

此外，在另一種情形下，黑客可以繞過各種存儲權限策略，并通過拍攝的照片和視頻解析EXIF數據（“可交換圖像文件格式”：可以記錄數碼照片的屬性信息和拍攝數據），從而通過GPS元數據找到用戶當前的GPS位置。

值得注意的是，Checkmarx研究人員還找到一種方法，即使手機被鎖定或屏幕被關閉，流氓應用也可以強制相機應用程序拍照和錄制視頻。“即使用戶處于語音通話中，我們的研究人員也可以這樣做。”該公司稱。

而最初該系統漏洞僅在Google Pixel 2 XL和Pixel 3內置相機應用中發現，當該公司深入研究時發現這些漏洞也影響了部分主要的智能手機供應商，例如三星。

在今年7月，Checkmarx向谷歌提交了漏洞報告，隨后谷歌與三星公司都證實了該漏洞的影響，并表示已經修復了漏洞。漏洞修復后，Checkmarx稱谷歌與三星都表示，為了安全起見，用戶可以更新到最新版本的安卓操作系統。

南都記者了解到，如果根據9月初發布的安卓系統最新版本Android 10變更信息，或在一定程度上印證了上述漏洞消息。

Android 10變更信息顯示：在隱私權方面對訪問攝像頭詳情和元數據的權限實施了限制，應用必須具有相機權限才能訪問此方法的返回值中可能包含的設備特定元數據。同時，對于Android 10 及更高版本為平臺的應用，其訪問權限范圍限定為外部存儲，且僅包括應用文件和應用創建的照片、視頻和音頻片段。此外，應用在后臺運行時訪問設備位置信息需要權限，若應用不符合以下條件之一則會被視為在后臺訪問位置信息：屬于該應用的 Activity 可見；該應用運行的某個前臺設備已聲明前臺服務類型為 location。

采寫：南都記者 孔學劭 實習生 廖靜娜

編輯：甄芹