Android : une faille de sécurité détectée dans le système de mise à jour de l'OS

Une faille de sécurité présente actuellement dans toutes les
versions d'Android permet aux applications installées de disposer d'une
potentielle élévation des privilèges lors d'une mise à jour de l'OS. Un
constat réalisé par des chercheurs de Microsoft.

Dans un rapport publié en fin de semaine dernière (PDF),
des chercheurs de Microsoft et de l'université de l'Indiana mettent le
doigt sur une faille de sécurité importante se trouvant au cœur
d'Android, et plus précisément de son système de mise à jour. Ce dernier
dispose à l'heure actuelle d'une vulnérabilité qui permet à certaines
applications de se voir octroyer automatiquement l'autorisation
d'utiliser certaines fonctionnalités du terminal, sans que l'utilisateur
ne donne son aval.





Concrètement, lorsqu'une nouvelle fonctionnalité apparaît dans Android
suite à une mise à jour de l'OS, l'autorisation d'accès à cette dernière
peut être donnée aux applications qui l'intègrent, mais qui n'y avaient
jusque-là pas accès car la précédente version d'Android ne la gérait
pas. Les applications en question ne font alors pas l'objet d'une
nouvelle validation des droits acquis par l'utilisateur : tout se fait à
son insu. Ainsi, une application peut, suite à une mise à jour
d'Android, disposer d'un nouveau droit de regard sur le contenu du
smartphone, ou accéder à des données de géolocalisation supplémentaires,
en toute discrétion.





Les chercheurs soulignent que la situation est risquée sur bien des
points, et que des applications tentent même de profiter de cet avantage
à l'insu de l'utilisateur. L'élévation des privilèges ouvre d'ailleurs
la porte à l'installation de code malveillant sur le terminal : les
chercheurs ont par ailleurs réussi à publier une application exploitant
la faille sur plusieurs marchés d'app, incluant Google Play et
l'appstore d'Amazon, sans aucune difficulté. L'application a, depuis,
été supprimée.





L'étude des experts en sécurité indique la plupart des versions
d'Android disponibles sur le marché sont actuellement touchées par la
faille, y compris les versions proposées par les fabricants tiers, dont
Samsung, HTC et LG. « Ces défauts affectent tous les appareils
Android dans le monde, laissant planer une menace sur des milliards
d'utilisateurs Android qui sont encouragés à mettre à jour leur système » explique le document.





En mettant en avant cette faille de sécurité, les chercheurs espèrent
faire réagir Google ainsi que les entreprises qui exploitent une version
modifiée d'Android. Mais pour corriger le problème, il faudra attendre
d'hypothétiques mises à jour qui pourraient mettre du temps à arriver.

Source Clubic.