Enfin de mois de juillet nous rapportions que le système Android présentait une vulnérabilité affectant potentiellement 950 millions de terminaux. Cette faille affecte Stagefright, un outil de lecture média intégré au système de Google. Selon le cabinet de sécurité Zimperium, un hacker serait en mesure d'exécuter du code à distance et de récupérer des informations personnelles. Pour exploiter cette faille il suffirait simplement d'envoyer un MMS. Il serait alors possible d'enregistrer les sorties audio et vidéo ou de récupérer les photos stockées sur la carte SD.
Google a déjà déployé un patch pour les terminaux de la gamme Nexus et dans un communiqué, la société expliquait : « nous avons immédiatement agi et transmis une solution à nos partenaires afin de protéger les utilisateurs ». Google a également mis à jour les applications Hangouts et Messenger afin de bloquer l'exécution automatique des médias. Mais le module Stagefright reste toujours vulnérable et les autres applications permettant de gérer les SMS/MMS n'ont pas forcément toutes été corrigées.
Le hackeur Joshua Drake a attendu un mois durant lequel les constructeurs sont censés avoir déployé un correctif. Désormais le code de cette vulnérabilité est rendu public. M. Drake met également à disposition un script Python générant un fichier MP4 spécialement conçu pour exploiter ce bug. L'idée est de permettre aux chercheurs d'analyser le comportement de Stagefright.
Notons que les smartphones équipés d'Android 5.x Lollipop ne sont pas vulnérables. Retrouvez davantage d'informations sur cette page.
A lire également :
