Ouvrir le menu principal

iGeneration

Recherche

Une astucieuse faille de sécurité dans tous les terminaux Android

Florian Innocente

mercredi 26 mars 2014 à 18:29 • 32

iPhone

Après Apple et sa Goto Fail dans iOS et OS X, c'est Android qui est concerné par une vaste faille de sécurité, potentiellement utilisable dans tous les terminaux en service à travers le monde. Depuis sa médiatisation, au début de la semaine, les chercheurs qui ont découvert ce problème et mis au point un utilitaire de recherche de malwares installés, ont vu leur outil testé dans 47 pays.

Cette faiblesse système a été découverte par une équipe de l'Université de l'Indiana et les labos de recherche de Microsoft [PDF]. L'objet de leur curiosité s'est porté sur le mécanisme de mise à jour système d'Android.

Six failles ont été découvertes dans le package management service. Elles peuvent faciliter la vie d'une app désireuse de collecter des données personnelles de l'utilisateur, de modifier les logiciels installés, voire de prendre leur place. Ces failles sont surnommées « Pileup Flaws/privilege escalation through updating ». Le principe consiste à distribuer une application de prime abord inoffensive mais capable de mettre en route ses propriétés infectieuses à la suite d'une mise à jour d'Android. Cela peut aller de la récupération d'informations, à l'injection de code malveillant jusqu'au remplacement pur et simple d'une app système par son clone dans lequel vous entrerez vos données en toute confiance.

Une application dispose à la base d'une série de droits d'accès qui encadre son activité et ce qu'elle est en droit de faire avec les fonctions offertes par le système. L'auteur du malware peut toutefois inclure des privilèges qui ne lui serviront que plus tard. La version installée d'Android, lorsqu'elle vérifiera l'application, glissera sans sourciller sur ces droits d'accès dormants qui lui sont, à ce stade, complètement inconnus. Mais lors d'une mise à jour système apportant les nouvelles fonctions attendues, l'application pourra enfin les mettre à profit sans se faire remarquer. Android ne trouvera rien à redire puisqu'il avait déjà validé cette app précédemment.

Sur les six failles révélées à Google en octobre dernier, une a été corrigée en janvier, les autres sont toujours à l'étude. Les chercheurs font remarquer que selon les constructeurs, le nombre de petites mises à jour système incrémentales proposées aux utilisateurs multiplie les opportunités pour les auteurs de tels malwares. À ce jeu, Samsung créée plus de déclinaisons système que Google lui-même, font-ils remarquer. Mais il leur est impossible de savoir si cette faille était connue et exploitée.

L'équipe s'inquiète toutefois de la vitesse à laquelle ces correctifs vont pouvoir être distribués par Google et les fabricants, cet écosystème n'étant pas connu pour se tenir à jour à marche forcée. Dans l'attente, un outil a été mis en ligne pour détecter la présence de tels malwares et des vidéos de démonstration de ces failles sont visibles.

[via Futura Sciences]

Rejoignez le Club iGen

Soutenez le travail d'une rédaction indépendante.

Rejoignez la plus grande communauté Apple francophone !

S'abonner

Fire OS : Amazon devrait bientôt abandonner Android pour un nouveau système basé sur Linux

12:53

• 5


Orange TV bénéficie d’une meilleure qualité d’image sur Apple TV

11:40

• 6


France Identité : le permis de conduire numérique va devenir plus complet

10:40

• 21


Netflix va systématiquement proposer des sous-titres dans la langue d’origine du contenu

08:14

• 8


Fin des remaniements internes, déplacement d’usines et projets de réalité augmentée : la semaine Apple

27/04/2025 à 22:18

• 31


Test d'un traqueur Bluetooth à moins de 4 € : est-il vraiment aussi bien qu'un AirTag ?

27/04/2025 à 10:00

• 19


Promos : iPhone 13 256 Go à 579 €, l'iPhone 16e à 660 € et l'iPhone 16 à 800 €

26/04/2025 à 19:35

• 9


Émulation : comment jouer à ses vieux jeux sur iPhone ou iPad ?

26/04/2025 à 10:00

• 10


Pour le producteur de La Maison, « Apple est la pire boîte marketing de l’univers »

25/04/2025 à 22:15

• 108


Apple TV+ : USS Greyhound aura une suite en 2027

25/04/2025 à 21:30

• 11


Nest fait du ménage dans sa gamme, et abandonne le marché européen des thermostats connectés

25/04/2025 à 21:00

• 68


Upscaling vidéo et restauration photo plus rapides sur Mac/PC : VideoProc AI mis à jour est à - 62 % 📍

25/04/2025 à 18:13

• 0


dav1d, le décodeur AV1 le plus optimisé qu'Apple refuse d'utiliser

25/04/2025 à 17:47

• 6


Govee présente des arbustes lumineux connectés avec Matter

25/04/2025 à 15:45

• 17


Eufy présente un robot-aspirateur avec un nettoyeur amovible compatible Matter

25/04/2025 à 14:45

• 25


Microsoft a conçu une publicité par IA et personne n’a rien vu

25/04/2025 à 13:45

• 33