Une nouvelle faille permettrait de « briquer » les terminaux Android

C’est une faille majeure qu’a découvert récemment Ibrahim Balic au sein d’Android 4.2.2, 4.3 et 2.3. Celle-ci permet de déclencher une corruption de la mémoire vive à partir de la déclaration d’une valeur trop grande pour une variable au sein d’un fichier XML dans un paquet d’installation d’application. Dans un billet de blog, Veo Zhang de Trend Micro, explique le résultat, vu par l’utilisateur : « le terminal est bloqué dans une boucle sans fin de redémarrage. Ce qui peut rendre le terminal inutilisable et, du point de vue de certains, le ‘briquer’. » C’est à dire le transformer en « brique » inexploitable.

Pour Zhang, cette vulnérabilité peut être exploitée de manière extrêmement discrète par des pirates, « en définissant un déclencheur qui stoppe l’activité en cours de l’application » à un moment précis, voire tout simplement au démarrage du terminal : « faire cela bloquera le terminal dans une boucle de redémarrage […] Dans ce cas, seule une restauration par le bootloader fonctionnera, ce qui signifie que toutes les informations stockées sur le terminal seront effacées. » Trend Micro assure avoir trouvé plusieurs composants d’Android affectés par le même type de vulnérabilité.

L’équipe de sécurité du système d’exploitation mobile de Google a été informée. Mais le temps qu’elle produise un correctif, et que les constructeurs le propagent auprès de leurs clients finaux, Trend Micro recommande « de ne jamais télécharger d’application à partir de magasins applicatifs tiers. » Et l’éditeur d’ajoute qu’il « est important de traiter les applications tierces avec une dose saine de suspicion et de scepticisme. »