Falha no Google Pixel permitia recuperar imagens cortadas ou editadas

Uma falha bastante grave ficou disponível por mais de cinco anos no aplicativo de edição de imagens dos smartphones Google Pixel. Por meio da brecha, seria possível recuperar imagens cortadas ou editadas a partir do arquivo original, abrindo as portas para a exposição de dados pessoais, cenas íntimas ou sensíveis daqueles que usassem o recurso para publicações em sites ou redes sociais.

• Seu nude vazou? Alta de casos reforça a necessidade de proteção mais eficiente
• Mais da metade dos brasileiros tem medo de guardar fotos íntimas na nuvem

A exploração foi batizada de Acropalypse e ganhou até uma ferramenta online, na qual os donos dos celulares podem testar se as próprias imagens cortadas ou editadas são passíveis de recuperação. Nos testes feitos pelos pesquisadores em segurança Simon Aarons e David Buchanan, a partir de arquivos trocados pelo mensageiro Discord, foi possível recuperar o número de um cartão de crédito ocultado pelo recurso.

O segredo estava na forma como o software, chamado de Markup, lidava com os metadados das imagens manipuladas. Ao realizar ações como cortes, edições, aplicação de emojis e outras mudanças, o editor também armazenava dados truncados no próprio arquivo, que se obtido, poderia permitir que até 80% do original fosse recuperado a partir da exploração.

"Apresentando Acropalypse: uma série vulnerabilidade de privacidade na ferramenta nativa de edição de screenshots do Google Pixel, a Markup, permitindo recuperação parcial de imagens originais e sem alterações, a partir de uma captura cortada ou editada. Muito obrigado ao @David3141593 pela ajuda!"

A falha rastreada como CVE-2023-21036 foi reportada ao Google em janeiro deste ano e corrigida em março em uma atualização para os dispositivos da linha Pixel. Ainda que estivesse disponível na plataforma há pelo menos cinco anos, não existem informações de uso malicioso da vulnerabilidade.

Segundo os pesquisadores, todos os modelos da linha Pixel são vulneráveis à falha, que foi introduzida na atualização do sistema operacional Android para sua versão 9 Pie. Modelos mais antigos, que podem não receber o update liberado no início do mês, podem inclusive seguir suscetíveis à exploração, como é o caso das linhas 6, 6a e 6 Pro dos smartphones do Google, que ainda não receberam a correção.

Além disso, os especialistas apontam que outros aparelhos que utilizem o Markup a partir de compilações vulneráveis também podem estar suscetíveis à exploração. Eles não forneceram uma lista de dispositivos atingidos, neste caso, mas recomendam que as fabricantes também tomem as medidas necessárias para garantir que a falha não siga ativa.

Como medida de segurança, Aarons e Buchanan divulgaram publicamente a ferramenta que explora o Acropalype, de forma que os usuários que utilizaram o Markup possam verificar se as imagens editadas publicadas são passíveis de recuperação. Não há maneira de corrigir o problema em arquivos já publicados, por isso, a recomendação é de remoção das imagens onde for possível, além da atenção quanto ao mau uso de dados e registros pessoais decorrentes da falha.