(出典:Simon Aarons氏)
Google Pixelに標準搭載されている画像編集ツール「マークアップ」において、加工前のスクリーンショットが復元できてしまう脆弱性(CVE-2023-21036)が発見された。
本脆弱性は、マークアップでスクリーンショット内の個人情報などをトリミングや塗りつぶしといった加工で隠しても、加工前の状態に復元できてしまい、隠した部分が表示されてしまうというもの。Simon Aarons氏とDavid Buchanan氏により発見されたもので、同氏らは本脆弱性のデモ用として、加工前のスクリーンショットを復元できるWebアプリ「acropalypse」を公開している。
The Vergeの報道によると、本脆弱性はマークアップが元のスクリーンショットを加工後も削除しないために発生したといい、Googleは3月のアップデートでパッチを適用したが、更新前に編集されたスクリーンショットは依然として加工前の状態に復元できてしまうという。
Introducing acropalypse: a serious privacy vulnerability in the Google Pixel’s inbuilt screenshot editing tool, Markup, enabling partial recovery of the original, unedited image data of a cropped and/or redacted screenshot. Huge thanks to@David3141593for his help throughout!pic.twitter.com/BXNQomnHbr
— Simon Aarons (@ItsSimonTime)March 17, 2023
This bug is a bad one.
You can patch it, but you can’t easily un-share all the vulnerable images you may have sent.
The bug existed for about 5 years before being patched, which is mind-blowing given how easy it is to spot when you look closely at an output file.https://t.co/yiR8egjLV8
— David Buchanan (@David3141593)March 18, 2023
コメント