Pour gérer vos consentements :

Sécurité IT : des menaces multimédias sur Android

Pour la deuxième fois cette semaine, l’alerte est sonnée autour des problèmes de sécurité posés par la gestion des fichiers multimédias sur Android.

L’éditeur américain Zimperium Mobile Labs avait ouvert le bal ce lundi en communiquant sur l’attaque Stagefright, liée à des failles dans la bibliothèque logicielle du même nom, utilisée pour lire plusieurs formats de vidéos.

Trend Micro renchérit avec une vulnérabilité qui peut être exploitée pour plonger des smartphones dans un état que l’on peut qualifier de végétatif : plus de son ni de vibreur, impossibilité de passer des appels et d’en recevoir, interface quasi inutilisable, téléphone ne pouvant plus être déverrouillé…

Plus de la moitié des terminaux équipés d’Android sont concernés, la faible en question touchant toutes les versions de l’OS entre la 4.3 « Jelly Bean » et la 5.1.1 « Lollipop ».

Deux solutions existent pour s’engouffrer dans la brèche : soit une application malveillante, soit une page Web frauduleuse.

La méthode d’exploitation diffère, mais le principe est le même : tirer parti d’une faiblesse dans le service mediaserver, utilisé pour indexer les fichiers multimédias sur un appareil.

Certains fichiers spécialement conçus avec le conteneur Matroska (généralement en extension .mkv) peuvent entraîner un dépassement d’entier. Soit par saturation de la mémoire tampon en lecture, soit par écriture de données vers l’adresse NULL, valeur considérée comme « impossible ».

L’erreur générée entraîne un crash système et un redémarrage… en boucle, puisque l’application malveillante est paramétrée pour s’exécuter au lancement de l’OS. On se retrouve donc face à une attaque par déni de service (DoS).

C’est plus délicat avec la technique alternative et pour cause : l’ouverture du navigateur est nécessaire pour afficher la page HTML dans laquelle est intégré le fichier .mkv piégé.

L’avantage pour les pirates est que le hack fonctionne même si le préchargement et la lecture automatique sont désactivés, comme c’est le cas par défaut sur la version mobile de Google Chrome.

Une solution : démarrer en mode sans échec afin de ne charger aucune composante tierce. Reste ensuite à accéder à la liste des applications installées, puis supprimer celle qui pose problème.

La communication de Trend Micro intervient plus de deux mois après la soumission de la faille à l’équipe de développement d’Android Open Source Project (AOSP), qui en a accusé réception en lui attribuant… une priorité faible.

Crédit photo : Pavel Ignatov – Shutterstock.com

Recent Posts

Avec Phi-3-mini, Microsoft va-t-il convertir les PME à la GenAI ?

Microsoft lance Phi-3-mini, un petit modèle de langage (SLM) qui s'adresse aux entreprises ne disposant…

60 minutes ago

IA et RGPD : sont-ils compatibles ?

Quelle part d’incertitude faut-il accepter dans la mise en conformité des IA avec le RGPD…

3 semaines ago

Windows 10 : quel coût pour le support étendu ?

Microsoft a dévoilé les prix des mises à jour de sécurité étendues pour Windows 10.…

4 semaines ago

Cybersécurité : la plan de Docaposte pour convaincre les PME

Docaposte a sélectionné une douzaine de spécialistes français pour créer un Pack cybersécurité spécialement étudié…

1 mois ago

Surface Pro 10 : plus autonome et un peu plus réparable

La Surface Pro 10 sera disponible le 9 avril en France. Passage en revue de…

1 mois ago

Office 2024 : ce qu’on sait de la prochaine version

Que réserve Office 2024 ? Une première version de test officielle sera disponible en avril.…

1 mois ago