Android : importante faille dans le support à distance

Une vulnérabilité de plus. Début août, Check Point a détaillé celle qu’il appelle Certifi-gate : « un ensemble de vulnérabilités dans les méthodes d’autorisation entreprise les applications mobile Remote Support Tool (mRST) et les accès de niveau système sur un terminal ». Et d’expliquer que ces outils mRST permettent d’offrir un support à distance aux utilisateurs. Pour cela, ils permettent de répliquer l’affichage à distance et de simuler des clicks du bout des doigts.

Las, « en cas d’exploitation, Certifi-gate permet à des applications malicieuses d’obtenir un accès sans restriction à un terminal », de manière totalement furtive. De quoi accéder aux données de l’appareil et même lancer des opérations qui ne seraient, autrement, accessibles qu’à l’utilisateur.

Check Point assure maintenant avoir identifié une application exploitant cette vulnérabilité, distribué sur le magasin applicatif de Google. Baptisée Recordable Activator, cette application britannique en a finalement été retirée ce mardi 25 août.

L’éditeur explique qu’elle exploitait la vulnérabilité pour « contourner le modèle de permissions d’Android et utiliser le plug-in TeamViewer – sans autorisation – pour accéder aux ressources au niveau système et enregistrer l’écran de l’appareil ».

Pour Check Point, Recordable Activator met en évidence plusieurs problèmes liés à Certifi-gate : « des applications sans privilèges peuvent profiter d’une vulnérabilité pour prendre le contrôle complet du terminal sans demander à Android la permission de le faire ; même après que TeamViewer a corrigé sa version officielle, des tiers malicieux peuvent continuer d’utiliser abusivement d’anciennes version de son plug-in ».

Dès lors, pour l’éditeur, la seule solution est la distribution, par les constructeurs, d’images système corrigées pour les terminaux affectés. Reste à savoir à quel rythme.