Una falla de seguridad que afecta la utilidad de edición de capturas de pantalla predeterminada de Google Pixel, Markup, permite que las imágenes queden parcialmente «sin editar», lo que podría revelar la información personal que los usuarios eligieron ocultar, como visto antes por 9to5Google y policía androide. La vulnerabilidad, que era descubierto por ingeniería inversa Simon Aaarons y David Buchanan, desde entonces, ha sido parcheado por Google, pero aún tiene implicaciones generalizadas para las capturas de pantalla editadas compartidas antes de la actualización.
Como se detalla en un hilo que Aaarons publicó en Twitter, la falla «aCropalypse», acertadamente llamada, hace posible que alguien recupere parcialmente las capturas de pantalla PNG editadas en Markup. Eso incluye escenarios en los que alguien puede haber usado la herramienta para recortar o escribir su nombre, dirección, número de tarjeta de crédito o cualquier otro tipo de información personal que pueda contener la captura de pantalla. Un mal actor podría explotar esta vulnerabilidad para revertir algunos de esos cambios y obtener información que los usuarios pensaban que habían estado ocultando.
en un próximo página de preguntas frecuentes obtenido temprano por 9to5Google, Aarons y Buchanan explican que esta falla existe porque Markup guarda la captura de pantalla original en la misma ubicación del archivo que la editada y nunca elimina la versión original. Si la versión editada de la captura de pantalla es más pequeña que la original, «la parte final del archivo original queda atrás, después de que se supone que el nuevo archivo ha terminado».
De acuerdo a a Buchanan, este error apareció por primera vez hace unos cinco años, casi al mismo tiempo que Google introdujo Markup con la actualización de Android 9 Pie. Eso es lo que empeora las cosas, ya que capturas de pantalla antiguas editadas con Markup y compartidas en plataformas de redes sociales podrían ser vulnerables al exploit.
La página de preguntas frecuentes establece que mientras ciertos sitios, incluido Twitter, vuelven a procesar las imágenes publicadas en las plataformas y les quitan la falla, otros, como Discord, no lo hacen. Discord acaba de parchear el exploit en una actualización reciente del 17 de enero, lo que significa que las imágenes editadas compartidas en la plataforma antes de esa fecha pueden estar en riesgo. Todavía no está claro si hay otros sitios o aplicaciones afectados y, de ser así, cuáles son.
El ejemplo publicado por Aarons (incrustado arriba) muestra una imagen recortada de una tarjeta de crédito publicada en Discord, que también tiene el número de tarjeta bloqueado con el bolígrafo negro de la herramienta Marcado. Una vez que Aarons descarga la imagen y explota la vulnerabilidad aCropalypse, la parte superior de la imagen se corrompe, pero aún puede ver las partes que se editaron en Markup, incluido el número de tarjeta de crédito. Puede leer más sobre los detalles técnicos de la falla en Publicación del blog de Buchanan.
Después de que Aarons y Buchanan informaran sobre la falla (CVE-2023-21036) a Google en enero, la empresa solucionó el problema en marzo. actualización de seguridad para Pixel 4A, 5A, 7 y 7 Pro con su gravedad clasificada como «alta». No está claro cuándo llegará esta actualización para los otros dispositivos afectados por la vulnerabilidad, y Google no respondió de inmediato. el bordeSolicitud de más información. Si desea ver cómo funciona el problema por sí mismo, puede cargar una captura de pantalla editada con una versión no actualizada de la herramienta Markup. a esta página de demostración creado por Aarons y Buchanan. O bien, puede consultar algunos de los aterrador ejemplos publicado en la web.
Esta falla salió a la luz solo unos días después de que el equipo de seguridad de Google descubriera que los módems Samsung Exynos incluidos en los modelos Pixel 6, Pixel 7 y Galaxy S22 y A53 seleccionados podría permitir a los piratas informáticos «comprometer remotamente» los dispositivos utilizando sólo el número de teléfono de una víctima. Desde entonces, Google solucionó el problema en su actualización de marzo, aunque todavía no está disponible para los dispositivos Pixel 6, 6 Pro y 6A.