Segundo os pesquisadores Simon Aarons e David Buchanan, uma nova falha permite a recuperação de imagens editadas e cortadas no Google Pixel.
A ferramenta Markup é um editor de imagem integrado que permite redigir, cortar e alterar imagens em um dispositivo Google Pixel.
Dito isso, uma falha ‘Acropalypse’ na ferramenta Markup do Google Pixel possibilitou a recuperação parcial de capturas de tela e imagens editadas ou redigidas, incluindo aquelas que foram cortadas ou tiveram seu conteúdo mascarado, nos últimos cinco anos.
Falha permite a recuperação de imagens editadas e cortadas
A vulnerabilidade foi descoberta pelos pesquisadores de segurança Simon Aarons e David Buchanan, que relataram no Twitter que foi possível recuperar informações confidenciais de imagens editadas nos últimos cinco anos usando um ataque que eles apelidaram de “Acropalypse”.
Aarons compartilhou um exemplo de como eles usaram a falha do Acropalypse para restaurar uma foto carregada no Discord de um cartão de crédito cujo número foi editado usando o recurso de marcador preto da ferramenta Markup.
Depois de executar a foto por meio do exploit Acropalypse, eles recuperaram a imagem original, conforme mostrado abaixo.
Os pesquisadores também publicaram um utilitário de recuperação de captura de tela Acropalypse on-line para permitir que os proprietários do Pixel testem suas próprias imagens editadas e verifiquem se são recuperáveis.
Os pesquisadores relataram a falha ao Google em janeiro de 2023, e a empresa a corrigiu por meio de uma atualização lançada em 13 de março de 2023, rastreando-a como CVE-2023-21036.
Acredita-se que o problema decorre de como o arquivo de imagem foi aberto para edição, fazendo com que dados truncados sejam deixados para trás em uma imagem salva e permitindo que cerca de 80% da versão original seja recuperável.
A vulnerabilidade pode expor informações confidenciais que o criador da imagem redigiu usando a ferramenta de marcação do Pixel antes de compartilhar a mídia com outras pessoas ou publicá-la online.
Isso se aplica a postagens em plataformas que não compactam mídia carregada pelo usuário, portanto, os dados confidenciais, se existirem, permanecem intactos.
Um FAQ com mais detalhes sobre o problema será publicado em breve em um site dedicado, mas não está disponível no momento da redação.
Além disso, Buchanan divulgou alguns detalhes técnicos adicionais sobre o problema em seu blog.
Apesar do Google corrigir o problema na atualização recente para os telefones Pixel, todas as imagens compartilhadas nos últimos cinco anos são vulneráveis ao ataque Acropalypse e nada pode ser feito para remediar isso.
Devido a isso, a falha pode ter sérias implicações de privacidade para usuários que enviaram capturas de tela com informações confidenciais redigidas usando a ferramenta de marcação.
Também pode ter impacto para os usuários que compartilham fotos reveladoras de si mesmos, com certas partes da imagem anteriormente editadas, mas agora possivelmente recuperáveis.
Infelizmente, o problema afeta todos os modelos Pixel que executam o Android 9 Pie e posterior, que foi quando a ferramenta Markup foi introduzida e até a atualização de segurança de fevereiro de 2023.
Deve-se notar que o Google lançou a atualização de segurança de março de 2023 para Pixel 4a, 5a, 7 e 7 Pro com uma semana de atraso devido à coincidência com a “queda de recursos do Pixel” trimestral e também à descoberta de 18 falhas de dia zero em modems Exynos usados nas séries Pixel 6 e 7.
No entanto, as falhas do Exynos e a vulnerabilidade de marcação ainda precisam ser corrigidas ao escrever isso para o Pixel 6a, 6 e 6 Pro, pois a atualização de segurança de março de 2023 ainda precisa ser lançada para esses modelos.
Por fim, o Acropalypse pode afetar smartphones não Pixel usando distribuições Android de terceiros que usam a ferramenta de marcação para captura de tela/edição de imagem.
Um problema semelhante com corte reversível foi descoberto recentemente no Google Docs, permitindo que pessoas com acesso somente visualização recuperem versões originais de imagens cortadas em documentos compartilhados.
