Lorsque Google a commencé à déployer Android, la société a résolu une vulnérabilité de gravité « élevée » impliquant l’outil de capture d’écran Pixel’s Markup. Pendant le weekend, et les rétro-ingénieurs qui ont découvert CVE-2023-21036, ont partagé plus d’informations sur la faille de sécurité, révélant que les utilisateurs de Pixel risquent toujours de voir leurs anciennes images compromises en raison de la nature de la surveillance de Google.
En bref, la faille « aCropalypse » a permis à quelqu’un de prendre une capture d’écran PNG recadrée dans Markup et d’annuler au moins certaines des modifications de l’image. Il est facile d’imaginer des scénarios où un mauvais acteur pourrait abuser de cette capacité. Par exemple, si un propriétaire de Pixel utilisait Markup pour masquer une image contenant des informations sensibles sur lui-même, quelqu’un pourrait exploiter la faille pour révéler ces informations. Vous trouverez les détails techniques sur .
Présentation de l’acropalypse : une grave vulnérabilité de confidentialité dans l’outil d’édition de capture d’écran intégré de Google Pixel, Markup, permettant la récupération partielle des données d’image originales non modifiées d’une capture d’écran recadrée et/ou expurgée. Un grand merci à @David3141593 pour son aide tout au long! pic.twitter.com/BXNQomnHbr
– Simon Aarons (@ItsSimonTime) 17 mars 2023
Selon Buchanan, la faille existe depuis environ cinq ans, coïncidant avec la sortie de Markup aux côtés de . Et c’est là que réside le problème. Alors que le correctif de sécurité de mars empêchera Markup de compromettre les futures images, certaines captures d’écran que les utilisateurs de Pixel ont pu partager dans le passé sont toujours à risque.
Il est difficile de dire à quel point les utilisateurs de Pixel devraient être préoccupés par la faille. Selon un prochain Aarons et Buchanan partagé avec et , certains sites Web, dont Twitter, traitent les images de manière à ce que personne ne puisse exploiter la vulnérabilité pour inverser la modification d’une capture d’écran ou d’une image. Les utilisateurs d’autres plates-formes n’ont pas cette chance. Aarons et Buchanan identifient spécifiquement Discord, notant que l’application de chat n’a pas corrigé l’exploit avant sa récente mise à jour du 17 janvier. Pour le moment, il n’est pas clair si les images partagées sur d’autres médias sociaux et applications de chat ont été laissées tout aussi vulnérables.
Google n’a pas immédiatement répondu à la demande de commentaires et d’informations supplémentaires d’Engadget. La mise à jour de sécurité de mars est actuellement disponible sur les Pixel 4a, 5a, 7 et 7 Pro, ce qui signifie que Markup peut toujours produire des images vulnérables sur certains appareils Pixel. On ne sait pas quand Google diffusera le correctif sur d’autres appareils Pixel. Si vous possédez un téléphone Pixel sans le patch, évitez d’utiliser Markup pour partager des images sensibles.