Une faille sur Android est plutôt inquiétante d’après un spécialiste de la sécurité

Une faille très importante et veille de plus de 5 ans, risque de faire parler d’elle dans les mois à venir. En effet, même si cette faille dispose désormais d’un patch depuis le début du mois, il est peu probable que ce correctif soit mis en application rapidement par les constructeurs ou les opérateurs, ce qui en fait une porte d’entrée de choix pour les pirates informatiques.

La mise à jour d’Android qui a eu lieu au mois de mai patchait plusieurs failles dont CVE-2016-2060, une vulnérabilité importante qui permet de réaliser des attaques furtives et de vider les informations d’un téléphone. Après avoir étudié cette faille, les experts de chez FireEye viennent de comprendre un peu mieux le potentiel de cette dernière et cela risque de ne pas vous plaire !

La vulnérabilité concerne des centaines de modèles de smartphones, car non seulement elle touche les terminaux Android inférieur ou égal à 4.3 « Jellybean MR2 », mais elle existe surtout depuis 5 ans. Autant dire que des millions de smartphones et sans doute le vôtre sont concernés. Le souci majeur, c’est que même si un correctif existe depuis quelques jours, il est peu probable qu’il soit installé rapidement, car cela dépend désormais en grande partie des constructeurs et des opérateurs pour exécuter cette mise à jour et l’on sait que le temps de réaction se compte souvent en semaines, voire en mois de ce côté-là.

Les spécialistes de chez FireEye expliquent : « N’importe quelle application peut interagir avec cette API sans provoquer d’alertes. Il est peu probable que Google Play la considérerait comme malveillante. Il est difficile à croire qu’un antivirus serait capable de détecter cette menace. De plus, l’autorisation pour effectuer ces requêtes est demandée par des millions d’applications, ce qui ne permettrait donc pas de détecter quelque chose ».

Une faille facile à exploiter, difficile à détecter même par les spécialistes, existant depuis 5 ans, touchant des millions de terminaux et offrant un accès complet aux données du téléphone et dans certains cas à des changements de paramétrage… CVE-2016-2060 devrait faire parler d’elle très bientôt !

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *