aCropalypse漏洞使Pixel设备面临严重风险

据TechRadar称，一个名为“aCropalypse”的漏洞针对Pixel设备。希望谷歌通过最近的三月份功能下降来修补漏洞，但尚未收到该路径的用户可能会面临风险。

安全研究人员Simon Aarons和David Buchanan在使用默认标记编辑工具裁剪PNG文件后在Pixel设备中发现了这个漏洞。该漏洞于几年前首次被发现，是由Android 10上的API更改引起的。

据报道，研究人员在2月24日发现了这个问题，并在同一天通知了谷歌。然而，谷歌在<>月<>日内部修补了这个漏洞，但最终用户在<>月份得到了修复，也就是发现该漏洞近两个月后。

“aCropalypse”漏洞主要针对Pixel手机，但其痕迹存在于其他Android手机和自定义ROM中。据说消息服务Discord也是此漏洞的目标。Discord 以前的图像处理方法从未剥离元数据或压缩图像。

“aCropalypse”漏洞利用通过标记编辑工具瞄准Pixel手机

虽然手机被标记编辑工具故障感染似乎很奇怪，但一些不幸的Pixel用户处理了这种情况。“aCropalypse”的工作方式很简单，但非常棘手。缩短或裁剪图像文件后，标记工具仍会保存有关已编辑图像的一些信息并保留裁剪后的片段。

“所以基本上Pixel 7 Pro，当你裁剪并保存屏幕截图时，会用新版本覆盖图像，但将原始文件的其余部分留在原处。研究人员Simon Aarons说。

根据布坎南的解释，PNG文件将其数据保存在块中。编辑文件后，其中一个块仍会保留有关已编辑部分的数据。 “从理论上讲，图像几乎可以完全由对缺失数据的反向引用组成，但实际上，大多数图像不是这样的。布坎南补充道。此外，由于处理数据的方法不同，该漏洞似乎不会影响 JPEG 文件。

Aarons和Buchanan创建了一个工具，可以帮助您在屏幕截图中找到漏洞，并找出是否有任何屏幕截图被感染。该服务目前支持几乎所有Pixel手机，从Pixel 3到7 Pro。