Les chercheurs en sécurité de Microsoft ont annoncé avoir trouvé des vulnérabilités dans un framework utilisé par de nombreuses applications préinstallées sur les smartphones Android.
Les applications concernées ont été patchées, mais il est possible que d’autres, encore non découvertes, soient concernées.
Des vulnérabilités importantes présentes dans des applications préinstallées
En effectuant des recherches sur l’impact des applications préinstallées sur la sécurité des smartphones, les chercheurs de Microsoft ont découvert une série de vulnérabilités. Ces failles sont présentes dans un framework mobile appartenant à mce Systems et utilisé par de nombreuses applications, notamment préinstallées sur des téléphones achetés auprès d’opérateurs de télécommunications. Elles étaient également téléchargeables sur le Google Play Store et l’avaient été des millions de fois.
Le framework vulnérable possède l’autorisation d’accéder à de nombreux systèmes sensibles du smartphone pour son fonctionnement, ce qui rend les vulnérabilités présentes en son sein particulièrement attractives pour les hackers. D’après Microsoft, ces failles, qui vont de l’injection de commandes à de l’élévation de privilèges, peuvent permettre à des hackers de créer une backdoor persistante ou d’obtenir un contrôle important sur l’appareil. « Couplées à les privilèges système étendus que possèdent les applications préinstallées, ces vulnérabilités auraient pu constituer des vecteurs d’attaque permettant aux attaquants d’accéder à la configuration du système et à des informations sensibles », indiquent les chercheurs dans leur article.
D'autres applications non détectées possiblement vulnérables
Le problème, c’est qu’il est généralement impossible pour les utilisateurs de supprimer ces applications préinstallées sans obtenir un accès root. Il était donc important que le problème soit résolu à la source. Pour cela, Microsoft a travaillé étroitement avec mce Systems afin de corriger le plus rapidement possible ces failles et rendre la mise à jour disponible pour tous les opérateurs concernés. D’après l’entreprise, toutes les applications vulnérables repérées par les chercheurs ont été patchées, et il suffit donc de les mettre à jour pour être protégé. Autre bonne nouvelle, Microsoft a travaillé avec Google dans le but de rendre possible la détection de ce genre de vulnérabilités lors des contrôles de sécurité automatiques de Google Play Protect.
Mais, pour autant, le problème n’est pas totalement résolu. En effet, la firme de Redmond soupçonne que d’autres applications d’opérateurs sont touchées et n’ont pas encore été détectées. De plus, les utilisateurs peuvent être vulnérables, même lorsqu’ils ne sont pas clients des opérateurs de télécom touchés par le problème. Le fait est qu'une application parfois installée par des magasins de réparation de téléphones est concernée par les failles.
Microsoft conseille donc à tous les possesseurs de smartphones Android de rechercher l’application « com.mce.mceiotraceagent » et de la supprimer le cas échéant. L’entreprise n’a pas fourni de liste complète des applications et opérateurs concernés par ces vulnérabilités.
Sources : The Hacker News, Microsoft
