Une faille plutôt embarrassante sur certains HTC qui permet aux développeurs tiers d'avoir accès aux clés WiFi.
HTC vient de confirmer qu'une faille atteignait certains de ses smartphones Android. Il est en effet possible pour les développeurs tiers (avec le SDK d'Android uniquement) d'obtenir les clés des différents hotspots WiFi que le téléphone possède en mémoire. L'exploitation de cette faille est un jeu d'enfant…
Il faut pour cela que l'application utilise la permission android.permission.ACCESS_WIFI_STATE, qui autorise normalement à avoir des informations restreintes sur les réseaux WiFi : adresse IP, SSID, BSSID, adresse mac… Mais sur les HTC, en appelant le toString() de la classe WifiInfo, on peut voir les différents mots de passe. En temps normal, le champs devrait être grisé ou afficher des étoiles. Cette découverte n'est pas nouvelle, car des chercheurs travaillent avec Google et HTC depuis le mois de septembre !
Il n'y a toutefois pas de craintes à avoir si vous utilisez l'Android Market. En effet, Google scanne les applications de sa boutique pour éviter qu'elles ne contiennent des malwares, et cette vulnérabilité en fait partie. En revanche, si vous utilisez d'autres plateformes (légales ou non), vous vous mettez potentiellement en danger. Il faut toutefois relativiser la situation, car obtenir une clé WiFi n'aura quasiment aucune conséquence. Il faudra que le pirate se déplace et utilise le mot de passe…
Si votre smartphone fait partie de cette liste, vérifiez que vous possédez bien un numéro de build supérieur à celui-ci, car la vulnérabilité est corrigée :
- Desire HD – Versions FRG83D, GRI40
- Glacier – Version FRG83
- Droid Incredible – Version FRF91
- Thunderbolt 4G – Version FRG83D
- Sensation Z710e – Version GRI40
- Sensation 4G – Version GRI40
- Desire S – Version GRI40
- EVO 3D – Version GRI40
- EVO 4G – Version GRI40
Si vous devez faire une installation manuelle, HTC fournira prochainement des explications sur cette page.
Source : H Online
Aucun commentaire:
Enregistrer un commentaire