Plusieurs fabricants télécoms, en tête desquels Samsung, ont commencé à déployer le correctif que leur a adressé Google pour résorber la faille de sécurité « critique » qui affecte potentiellement 99% des terminaux Android.
Au centre des préoccupations depuis quelques jours, cette brèche permet de transformer toute application en un programme malveillant, en modifiant du code APK sans casser la signature de chiffrement associée.
Spécialisé dans la protection des données sur mobile, Bluebox Security avait donné l’alerte la semaine passée, expliquant que tous les appareils électroniques pourvus d’Android 1.6 « Donut » ou d’une version ultérieure étaient concernés.
La start-up britannique assurait avoir averti Google en amont – en l’occurrence au mois de février – quant à l’existence de cette vulnérabilité découverte… en 2009.
Le groupe Internet de Mountain View l’a lui-même reconnu : l’exploitation de ce trou de sécurité peut entraîner une prise de contrôle à distance de la machine infectée, le vol de données ou encore, selon le niveau de privilèges de l’application visée, l’installation d’un botnet.
L’une de ses porte-parole tempère toutefois ce constat : « Aucun élément ne démontre que cette faille a été exploitée« , non seulement sur le Play Store, mais aussi sur des parcs applicatifs tiers.
C’est précisément sur ces logithèques alternatives que se portait l’inquiétude de la communauté des experts en sécurité IT.
Et pour cause : la brèche en question est difficilement exploitable sur Google Play.
En effet, s’il est possible de modifier le code APK des applications, chacune possède une signature (keystore) unique qui permet de l’identifier, rendant très compliqué son passage au contrôle qualité.
Ce problème n’est pas rencontré lors de la publication sur un autre App Store, y compris, vraisemblablement ceux des constructeurs, si leurs serveurs sont compromis.
—— A voir aussi ——
Quiz ITespresso.fr : connaissez-vous les différents services de Google ?
Crédit illustration : Android.com
Quelle part d’incertitude faut-il accepter dans la mise en conformité des IA avec le RGPD…
Microsoft a dévoilé les prix des mises à jour de sécurité étendues pour Windows 10.…
Docaposte a sélectionné une douzaine de spécialistes français pour créer un Pack cybersécurité spécialement étudié…
La Surface Pro 10 sera disponible le 9 avril en France. Passage en revue de…
Que réserve Office 2024 ? Une première version de test officielle sera disponible en avril.…
Microsoft Teams évolue dans une version « unifiée » qui permet de combiner les usages…