Android : publication d'un exploit pour la faille touchant 99 % de terminaux
Les constructeurs tardent dans le déploiement du correctif de Google

Le , par Hinault Romaric, Responsable .NET
Google a publié hier aux constructeurs d’appareils un correctif pour une faille de sécurité touchant 99 % de smartphones sous l’OS mobile Android.

La faille peut être exploitée pour transformer des applications officielles en Cheval de Troie pour dérober les données des utilisateurs ou contrôler leur terminal.

Au vu de la lenteur des constructeurs pour déployer les mises à jour d’Android, il est peu probable que les utilisateurs reçoivent rapidement ce correctif.

Ceux-ci pouvaient néanmoins se réconforter du fait que la faille ne soit pas activement exploitée, car Google a déclaré qu’il n’avait découvert aucune preuve d’exploitation sur Google Play.




Symantec pour sa part, note qu’après l’analyse de quatre millions d’applications avec sa solution Norton Mobile Insight, aucune utilisation de façon malveillante de la faille n’a été découverte. Ce qui risque cependant de changer dans les jours à venir.

Un chercheur en sécurité a mis au point et publié sur GitHub une preuve de réalisation (proof of concept) qui permet de faire passer une application pour une autre.

Le code de l’exploit utilise l’outil « apktool » pour briser un fichier « APK » en fichiers lisibles que l’utilisateur peut modifier au besoin. Il crée ensuite un nouveau fichier APK avec le contenu de l’APK d’origine et les modifications apportées par l’utilisateur.

Un pirate pourrait donc récupérer une application légitime, exploiter ce PoC pour modifier l’application afin d’introduire un code malveillant et la régénérer sans toutefois briser sa signature de vérification.

Plus qu’à espérer que les constructeurs vont procéder rapidement au déploiement de la mise à jour auprès des utilisateurs.

Le code de l'exploit sur GitHub

Source : Description de l'exploit, Symantec


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse

Avatar de nicroman nicroman - Modérateur https://www.developpez.com
le 11/07/2013 à 2:14
Oui... enfin il faut encore l'uploader sur le serveur google-play... Avec le même "package-name", donc avoir accès au compte du créateur originel et/ou accès dérobé aux serveurs google ....

Cela fait quand même beaucoup d'exploits pour utiliser une "faille" de l'apktools.

Après, il y a toujours les "unchecked" repositories, mais là, c'est de base très dangereux d'y chopper une appli. Donc cela ne change rien !
Avatar de YoyoS YoyoS - Membre à l'essai https://www.developpez.com
le 11/07/2013 à 13:54
Et oui, 99% des téléphones touchés mais 1% peuvent s'en inquiéter réellement...
Avatar de MRick MRick - Membre du Club https://www.developpez.com
le 12/07/2013 à 15:57
Citation Envoyé par MRick  Voir le message
Comment vérifier si on a bien le correctif ?

J'ai enfin trouver un moyen de vérifier si on a le correctif.

C'est BlueBox qui propose une appli pour vérifier si votre mobile est patché ou non :

http://bluebox.com/corporate-blog/fr...vulnerability/

Bon ils en en profitent pour faire leur petite pub, mais c'est de bonne guerre.

Par contre, j'ai choisi un Nexus justement pour être sur de ne pas avoir d'intermédiaire et avoir les mises à jours plus rapidement, mais je n'ai toujours pas le correctif. La mise à jour du système me dit que mon smartphone est à jour !
Avatar de Hinault Romaric Hinault Romaric - Responsable .NET https://www.developpez.com
le 18/07/2013 à 18:18
Android : face à la lenteur des constructeurs, des chercheurs publient ReKey
une application qui corrige la vulnérabilité touchant 99 % de smartphones

Le cabinet de sécurité Bluebox avait annoncé il y a quelques semaines la découverte d’une faille de sécurité critique dans Android, touchant toutes les versions de l’OS sorties ces quatre dernières années (depuis Android 1.6 jusqu’à la version actuelle).

La faille qui touche près de 99 % des terminaux sous l’OS mobile de Google peut être exploitée par des pirates pour transformer une application légitime en un cheval de Troie pour dérober les données ou contrôler le terminal, sans briser la signature de l’application.




La vulnérabilité se situe au niveau de la façon dont la cryptographie des applications Android est vérifiée. Ce qui offre la possibilité de modifier un APK et d'intégrer un code malveillant sans casser sa signature. Google a aussitôt mis à la disposition des constructeurs un correctif de sécurité pour la faille, dont le code d’un exploit a déjà été librement publié par un expert en sécurité.

Pourtant, les constructeurs tardent toujours dans la publication de la mise à jour aux consommateurs. Heureusement, les cabinets Duo Security et System Security Lab de la Northeastern University (NEU SecLab) ont mis au point une solution qui comble cette fissure dans Android.

« La sécurité des appareils Android dans le monde entier est paralysée par la lenteur des constructeurs et des opérateurs dans le déploiement des mises à jour », regrette Jon Oberheide, PDG de Duo Security.

L’application baptisée ReKey, injecte un bout de code dans la machine virtuelle Dalvik d’Android, pour corriger dynamiquement les classes ZipEntry et ZipFile afin de combler la faille. L’application nécessite cependant des privilèges assez élevés, et doit être installée en superutilisateur.

« ReKey est le dernier de nos projets de recherche visant à faire d’Internet un endroit sûr », explique Collin Mulliner, un chercheur de NEU SecLab. « Nous espérons que ReKey fournira un outil pratique pour protéger les utilisateurs. »

L’application est disponible sur Google Play.

Télécharger Rekey

Source : Duo Security

Et vous ?

Avez-vous déjà reçu une mise à jour pour cette faille ?
Avatar de transgohan transgohan - Expert confirmé https://www.developpez.com
le 19/07/2013 à 10:18
Je vais peut être dire une bêtise mais je vois mal comment on peut avoir des privilèges super-utilisateurs avec une ROM constructeur (ou pire opérateur)...

Quelqu'un pour un éclaircissement ?
Avatar de getz85 getz85 - Membre averti https://www.developpez.com
le 19/07/2013 à 10:36
Citation Envoyé par transgohan  Voir le message
Je vais peut être dire une bêtise mais je vois mal comment on peut avoir des privilèges super-utilisateurs avec une ROM constructeur (ou pire opérateur)...

Quelqu'un pour un éclaircissement ?

J'ai les droits super-utilisateurs, et j'ai gardé la ROM constructeur. Il suffit juste de rooter le téléphone, il y a énormément de tutos selon le téléphone pour faire ça. Rooter ton téléphone ne t'oblige pas à installer une ROM custom.
Avatar de nicroman nicroman - Modérateur https://www.developpez.com
le 19/07/2013 à 12:56
Il y a aussi un autre moyen de ne pas être touché.... ne pas télécharger d'appli sur des app-store non vérifiés...

Pas besoin de root, pas besoin d'installer une appli en mode système....

Quant à "ROOTER" son téléphone il consiste juste à remplacer le kernel pour lui donner la commande "su" (en général SuperSU)... Cette opération est décrite en détail pour toutes les ROMs constructeurs (hélas, pas les ROMs opérateurs).
Offres d'emploi IT
Développeur Web FULL-STACK
VACALIANS GROUP - Languedoc Roussillon - SETE (34)
Développeur WEB PHP F/H
VACALIANS GROUP - Languedoc Roussillon - SETE (34)
RESPONSABLE WEB ANALYTICS F/H
VACALIANS GROUP - Languedoc Roussillon - SETE (34)

Voir plus d'offres Voir la carte des offres IT
Contacter le responsable de la rubrique Accueil