Accéder au contenu principal

Une belle faille de sécurité Android concerne un milliard de terminaux

Le mécanisme de mise à jour d’Android souffre d’une importante faille de sécurité. Selon une étude menée à l’université de l’Indiana et chez Microsoft Research, plusieurs vulnérabilités critiques existent au sein du système de permissions gérant les nombreuses versions de l’OS mobile. En faisant croire qu'elle avait jusque-là tous les droits, une application malveillante pourrait, après la mise à jour, accéder à toutes les données personnelles. Présente dans toutes les versions officielles d’Android, cette faille menace potentiellement plus d’un milliard de smartphones et de tablettes.

Pour la première fois, une étude réalisée conjointement par l’université de l’Indiana à Bloomington (États-Unis) et Microsoft Research s’est intéressée à la sécurité du processus de mise à jour d’un système d’exploitation mobile, en l'occurrence Android. Cette équipe de chercheurs a découvert une importante faille de sécurité au niveau du package management service (PMS) qui gère la transition entre une version d’Android installée et une mise à jour. Ils ont constaté qu’une application malveillante pourrait facilement leurrer le système pour se voir attribuer des permissions d’accès, aussi appelées privilèges, qui lui permettraient de collecter des données personnelles et d’effectuer d’autres actions à l’insu de l’utilisateur.

Dans leur article scientifique, les chercheurs du System Security Lab de l’université de l’Indiana et ceux de Microsoft Research expliquent que cette vulnérabilité est directement liée à la fragmentation d’Android et à la fréquence de ses mises à jour. Depuis septembre 2008, 19 versions officielles d’Android ont été publiées par Google, auxquelles s’ajoutent plus de 3.500 versions configurées par les fabricants de terminaux et les opérateurs. « Les OS mobiles se caractérisent par leurs cycles de mise à jour rapides qui permettent aux vendeurs de smartphones de pousser de nouveaux services vers leurs clients et de régler les problèmes qui se présentent », peut-on lire.


Six vulnérabilités découvertes

Les travaux ont mis en évidence dans le PMS six vulnérabilités baptisées « pileup flaws » qui pourraient être exploitées par une application malveillante afin de réaliser une augmentation de ses permissions une fois la nouvelle version installée. Ainsi, une telle application préalablement installée sur un terminal pourrait tromper le système et se voir accorder des permissions qui s’activeraient une fois la mise à jour d’Android en service. Cela pourrait par exemple lui servir à accéder aux données personnelles telles que des identifiants et mots de passe, les messages, le répertoire de contacts, mais aussi d’envoyer des SMS surtaxés, tout cela à l’insu de l’utilisateur. Sur le site secureandroidupdate.org créé pour l’occasion, les chercheurs publient trois vidéos de démonstration simulant les méfaits qu’une application malveillante pourrait causer. Selon eux, les vulnérabilités sont présentes sur l’ensemble des versions officielles d’Android, ainsi que plus de 3.500 versions personnalisées.

Bilan : l’ensemble des smartphones et tablettes Android sur le marché est potentiellement vulnérable, soit plus d’un milliard d’appareils. Google a été informé de ce problème en octobre dernier, et a déjà corrigé l’un des six vulnérabilités. Reste à savoir à quelle vitesse les fabricants de mobiles et les opérateurs diffuseront ce correctif… En attendant, l’équipe à l’origine de cette étude a également développé un outil d’analyse qu’elle propose gratuitement. Baptisé Secure Update Scanner, il s’agit d’une application qui peut détecter des applications susceptibles d’exploiter les failles de type pileup. Elle est notamment disponible via Google Play.

Source : http://www.futura-sciences.com/magazines/high-tech/infos/actu/d/informatique-belle-faille-securite-android-concerne-milliard-terminaux-53000/#xtor=RSS-8


Commentaires

Posts les plus consultés de ce blog

Juniper met en garde contre la présence de code-espion dans ses pare-feu

Quelques mois après les révélations d'Edward Snowden, Juniper signale la présence de code-espion, une back door, dans ses firewalls. Hier, le fabricant d'équipements réseaux Juniper a fait savoir qu'il avait trouvé du code suspect dans certains modèles de pare-feu de la marque. Cette découverte inquiétante semble faire écho aux soupçons de piratage des firewalls de Juniper par la NSA avec une back door, dont il était fait mention dans les documents fuités par Edward Snowden. Les produits affectés tournent avec ScreenOS, l'un des systèmes d'exploitation de Juniper, fonctionnant sur une série d’appliances utilisées comme pare-feu et comme support pour le VPN. Selon l’avis publié par l’équipementier, les versions 6.2.0r15 à 6.2.0r18 et 6.3.0r12 à 6.3.0r20 de ScreenOS sont vulnérables. « Le code non autorisé a été découvert pendant un audit récent mené en interne », a expliqué Bob Worrall, le CIO de Juniper. Mais le fabricant n'a pas don...

67% des applications Android gratuites les plus populaires seraient vulnérables aux attaques MITM

Les chercheurs en sécurité de FireEye ont publié ce jeudi une étude sur les applications du Google Play Store. Ils en ont conclu que la majorité des applications les plus populaires présentaient des failles SSL et étaient susceptibles de subir des attaques type Man-in-the-Middle (MITM). Ces chercheurs ont analysé les 1000 applications gratuites les plus téléchargées du Play Store. Ils y ont cherché trois vulnérabilités SSL précises et ont découvert que sur cet échantillon, 674 applications présentaient au moins l'une des trois failles. Mauvaise utilisation des bibliothèques SSL  Un risque important, puisque ce type d'attaque permet potentiellement de récupérer un nombre extensif de données : identifiants et mots de passe, emails, ID de l'appareil, géolocalisation, photos, vidéos... Sans compter qu'un attaquant pourrait injecter un code malicieux dans ces applications, par exemple. Les développeurs seraient bien à l'origine de cette situation, mais i...

Top 10 des virus informatiques les plus dangereux en 2016

Alors que toutes nos données deviennent numériques, les hackers redoublent d’ingéniosité pour développer des virus informatiques toujours plus performants et dangereux. Si vous n’avez pas installé d’anti-virus sur votre ordinateur, ce top 10 des pires virus connus en 2016 devrait finir de vous convaincre de vous équiper… Un virus informatique est un programme autoréplicatif à la base non malveillant, mais aujourd’hui le plus souvent additionné de code malveillant par le pirates informatiques ou “hackers”. Conçu pour se propager à d’autres ordinateurs en s’insérant dans des logiciels légitimes, il peut perturber plus ou moins gravement le fonctionnement de l’ordinateur infecté. Il peut se répandre par tout moyen d’échange de données numériques comme les réseaux informatiques et les cédéroms, les clefs USB, les smartphones… En 2016, les hackers ne manquent pas de créativité et continuent de développer des virus informatiques de plus en plus performants. Ces der...