Si elles sont exploitées, ces failles peuvent permettre aux attaquants d'obtenir un accès non autorisé à des informations sensibles ou de causer des problèmes en général.
Des informations ont été publiées concernant une vulnérabilité (déjà répertoriée sous la référence CVE-2023-21036) identifiée dans l'application Markup utilisée sur les smartphones Google Pixel pour recadrer et modifier les captures d'écran, qui permet la restauration partielle des informations recadrées ou modifiées.
Les ingénieurs Simon Aarons et David Buchanan, qui ont respectivement découvert le bug et produit un outil de récupération de preuve de concept , l'ont nommé Cropalypse et ont noté que « ce bug est mauvais » pour les personnes soucieuses de leur vie privée.
Cela signifie que si quelqu'un met la main sur votre image recadrée, il peut essayer de récupérer la partie qui manque apparemment. Si l'image a été masquée avec des gribouillis sur certaines zones, ces zones peuvent être visibles dans l'image restaurée. Ce n'est pas bon pour la vie privée.
Le problème survient lors de la modification d'images PNG dans Markup et est dû au fait que, lors de l'écriture d'une nouvelle image modifiée, les données sont superposées au fichier précédent sans troncature ; autrement dit, le fichier final obtenu après modification inclut la fin du fichier source, dans laquelle subsistent les anciennes données compressées.
Ce problème est considéré comme une vulnérabilité, car un utilisateur peut publier une image modifiée après avoir supprimé des données sensibles, mais ces données restent présentes dans le fichier, même si elles ne sont pas visibles lors d'un affichage normal. Pour restaurer les données restantes, le service web acropalypse.app a été lancé et un exemple de script Python a été publié.
La vulnérabilité se manifeste depuis le lancement de la série de smartphones Google Pixel 3 en 2018 utilisant un micrologiciel basé sur Android 10 et des versions plus récentes. Le problème a été résolu dans la mise à jour du micrologiciel Android de mars pour les smartphones Pixel.
"Le résultat final est que le fichier image est ouvert sans le drapeau [tronqué], de sorte que lorsque l'image recadrée est écrite, l'image originale n'est pas tronquée", a déclaré Buchanan. "Si le nouveau fichier image est plus petit, la fin de l'original est laissée derrière."
Les morceaux du fichier qui étaient censés être tronqués se sont avérés récupérables sous forme d'images après avoir effectué une rétro-ingénierie de la méthodologie de la bibliothèque de compression zlib, ce que Buchahan dit avoir été capable de faire "après quelques heures de jeu." ». Le résultat final est une preuve de concept que toute personne possédant un appareil Pixel concerné peut tester par elle-même.
Le problème serait dû à une modification non documentée du comportement de la méthode ParcelFileDescriptor.parseMode() , dans laquelle, avant la sortie de la plateforme Android 10, l'indicateur « w » (écriture) entraînait la troncature du fichier lors d'une tentative d'écriture dans un fichier existant , mais depuis la sortie d'Android 10, le comportement a changé et la troncature nécessite la spécification explicite de l'indicateur « wt » (écriture, troncature), et lorsque l'indicateur « w » était spécifié, la fin n'était plus supprimée après une nouvelle écriture.
En bref, la faille "aCropalypse" a permis à quelqu'un de prendre une capture d'écran PNG recadrée dans Markup et d'annuler au moins certaines des modifications apportées à l'image. Il est facile d'imaginer des scénarios dans lesquels un mauvais acteur pourrait abuser de cette capacité. Par exemple, si un propriétaire de Pixel utilisait Markup pour masquer une image contenant des informations sensibles sur lui-même, quelqu'un pourrait exploiter la faille pour révéler ces informations.
Il convient de mentionner que Google a corrigé aCropalypse dans ses mises à jour de sécurité Pixel de mars (juste avant que les détails de la vulnérabilité ne soient révélés) :
Tout va bien à l'avenir : vous pouvez maintenant recadrer, expurger et partager sans craindre que vos futures images soient récupérées, mais aucune capture d'écran non partagée vulnérable à l'exploit n'est déjà passée, téléchargée sur Discord, etc. .
Enfin, si vous souhaitez en savoir plus sur cette vulnérabilité, vous pouvez consulter la publication originale en suivant ce lien.