Google va livrer dans les prochaines semaines une mise à jour logicielle pour les Pixel. Il s’agit d’un patch qui supprimera une application inactive, mais potentiellement malveillante, présente dans toutes les versions d’Android distribuées avec les smartphones.
Les chercheurs en sécurité d’iVerify ont découvert une faille de sécurité plutôt surprenante affectant les smartphones. Pixel. Showcase.apk, une application système développée par une société tierce pour le compte de l’opérateur américain Verizon, est présente dans toutes les versions d’Android sur de nombreux smartphones de Google depuis septembre 2017. Son rôle ? Faire passer les appareils en mode démo dans les magasins.
Une faille dangereuse, mais difficile à exploiter
Showcase dispose d’un accès privilégié aux couches inférieures du Pixel. Ces privilèges élevés lui permettent d’exécuter du code et d’installer des applications à distance. Les chercheurs ont déterminé qu’il télécharge un fichier de configuration via une connexion non sécurisée (HTTP), ce qui pourrait permettre à un attaquant de prendre le contrôle de celui-ci… et par extension, de l’ensemble de l’appareil.
Le risque est toutefois limité : par défaut, le package est désactivé et un accès physique à l’appareil est nécessaire pour l’activer. Il existe toutefois d’autres méthodes pour l’activer, ce qui accroît la menace. La faille a été signalée à Google en mai, et le délai de grâce de 90 jours pendant lequel l’entreprise peut réagir sans que la vulnérabilité ne soit rendue publique est terminé.
La lenteur de la réponse a poussé Palantir, qui a aidé iVerify à identifier la faille, à cesser d’utiliser les appareils Android, notamment les Pixel, car la confiance dans la sécurité de l’écosystème s’est érodée. Google a promis une mise à jour qui supprimera le package, mais le moteur de recherche n’exclut pas que Showcase soit présent dans les smartphones d’autres marques, qui ont été prévenues. Remarque : les Pixel 9 récemment dévoilés ne sont pas concernés.
🔴 Pour ne rien manquer de l’actualité de 01net, suivez-nous sur Google News et WhatsApp.
Par : Opéra
Source :
iVérifier