99 % des appareils Android touchés par une “grosse faille”

Une faille, découverte sur Android, toucherait 99 % des dispositifs tournant sous l'OS… Vraiment ?

Bluebox Labs, expert en sécurité informatique a déclaré avoir repéré une faille dans le système d’exploitation de Google. Ce problème toucherait potentiellement pas moins de 99 % des appareils équipés du système d'exploitation. Et pour cause, cette faille existe depuis Android 1.6 Donut. Chaque APK (application Android) est signée par son développeur. Si des bidouilleurs souhaitent modifier les ressources (images…), ils n'ont pas besoin de la signer de nouveau. En revanche si le code source est modifié, il faut normalement signer à nouveau l'APK…

Toutefois des personnes malintentionnées pourraient remplacer le code des applications sans pour autant casser leur signature électronique. Lors des mises à jour, les applications, qui sont dotées de signatures chiffrées, sont scrupuleusement vérifiées. Celles dont les signatures sont modifiées, se voient rejetées automatiquement. Les APK qui auraient fait l’objet d’une modification dans le cadre de cette faille passeraient donc pour des applications saines alors qu’elles seront en réalité corrompues, ce qui pourrait s'avérer d'autant plus dangereux dans le cas d'applications propres à des constructeurs, qui ont généralement accès à l'ensemble du système et des applications.

En revanche, si vous prenez les précautions nécessaires, il n’y a pas vraiment de quoi s’alarmer. L’exploitation de cette faille est impossible à effectuer depuis le Google Play. Il n’y a donc pas de crainte quant aux mises à jour réalisées directement sur le Store de Google. Les fabricants d’applications n’ont absolument aucune raison de déguiser les codes de leurs applications respectives, sinon par pur masochisme.

Prudence par contre si vous accédez à ces mises à jour depuis des sites tiers ou des marchés d’applications douteux. Sur des plateformes autres que Google Play, il n’y a potentiellement pas de vérifications. Vous pouvez donc tomber nez à nez avec un malware qui pourrait faire du mal à votre smartphone ou votre tablette. Rappelez-vous du malware dont nous vous parlions il y a quelques semaines. En somme, beaucoup de bruit pour peu de chose…

Nous en saurons toutefois un peu plus dans quelques semaines, lors de la conférence Black Hat organisée le 27 juillet prochain par Bluebox Labs. Le groupement expliquera plus en détails l’étendue de cette faille lors de cet évènement baptisé “Android: one root to own them all.”