📢 دور زدن مجوز مخاطبین در اندروید از طریق گوگل مسیجز! (Confused Deputy Bug)

📱 یک آسیب‌پذیری امنیتی جالب در برنامه Google Messages کشف شده بود که به اپلیکیشن‌های مخرب یا بدون دسترسی اجازه می‌داد بدون داشتن مجوز رسمی خواندن مخاطبین (READ_CONTACTS)، به عکس‌های ذخیره‌شده روی مخاطبین گوشی شما دسترسی پیدا کنند.

🔍 این باگ چطور کار می‌کرد؟

این آسیب‌پذیری از نوع Confused Deputy (معاون گیج) بود. گوگل مسیجز برای لود کردن تصاویر مخاطبان از یک ContentProvider عمومی به نام AvatarContentProvider استفاده می‌کرد که برای برنامه‌های دیگر هم قابل دسترسی بود.

مراحل اجرای باگ به این صورت بود:

1️⃣ برنامه مهاجم (که هیچ دسترسی به مخاطبین نداشت) آدرس عکس یک مخاطب خاص را به گوگل مسیجز می‌فرستاد.

2️⃣ گوگل مسیجز با استفاده از دسترسی‌های سیستمی خودش، آن عکس را لود و به فرمت PNG تبدیل می‌کرد.

3️⃣ در نهایت، گوگل مسیجز تصویر خروجی را دودستی تقدیم برنامه مهاجم می‌کرد!

⚠️ میزان خطر و تأثیرگذاری:

با اینکه این باگ کل اطلاعات مخاطب (مثل شماره تلفن) را فاش نمی‌کرد و فقط به عکس‌ها دسترسی داشت، اما یک بای‌پاس کامل برای لایه امنیتی اندروید به شمار می‌رفت. از آنجا که شناسه‌های عددی مخاطبان در اندروید ترتیبی هستند، مهاجم با یک اسکن ساده می‌توانست تمام تصاویر مخاطبان کاربر را استخراج کند.

🛠 وضعیت باگ:

این گزارش توسط Daniel Pua ثبت شد و گوگل در تاریخ ۲۳ خرداد ۱۴۰۵ (June 12, 2026) آن را به طور کامل برطرف کرد و پاداشی نیز به یابنده تعلق گرفت.

🔗 لینک مقاله کامل برای مطالعه جزئیات فنی و PoC:

👉 https://blog.devploit.dev/posts/google-messages-avatarcontentprovider-contacts-bypass/

#Android #AndroidSecurity #GoogleMessages #Vulnerability #BugBounty #ConfusedDeputy #Exploit

📢 @androidSec_fa