Google va livrer dans les prochaines semaines une mise à jour logicielle pour les Pixel. Il s’agit d’un correctif qui va supprimer une application inactive, mais potentiellement malveillante, présente dans toutes les versions d’Android distribuées avec les smartphones.
Les chercheurs en sécurité d’iVerify ont découvert une faille de sécurité pour le moins étonnante touchant les smartphones Pixel. Showcase.apk, une application système développée par une entreprise tierce pour le compte de l’opérateur américain Verizon, est présente dans toutes les versions d’Android de nombreux smartphones de Google depuis septembre 2017. Son rôle ? Basculer les appareils en mode démo dans les magasins.
Une faille dangereuse, mais difficile à exploiter
Showcase jouit d’un accès privilégié aux couches basses des Pixel. Ces privilèges élevés lui permet d’exécuter du code et d’installer des applications à distance. Les chercheurs ont établi qu’elle téléchargeait un fichier de configuration via une connexion non sécurisée (en HTTP), ce qui pourrait permettre à un pirate d’en prendre le contrôle… et par extension, de l’appareil tout entier.
Le risque est toutefois limité : par défaut, le package est en effet désactivé, et il faut un accès physique à l’appareil pour l’activer. Il pourrait toutefois exister d’autres méthodes d’activation, ce qui augmente la menace. La faille a été signalée à Google au mois de mai, et le délai de grâce des 90 jours durant lequel l’entreprise peut réagir sans que la vulnérabilité soit rendue publique est terminée.
Cette lenteur dans la réponse a incité l’entreprise Palantir, qui a aidé iVerify à identifier la faille, à cesser d’utiliser des appareils Android, y compris les Pixel : la confiance dans la sécurité de l’écosystème est en effet érodée. Google a certes promis une mise à jour qui supprimera le package, mais le moteur de recherche n’exclut pas que Showcase soit présent dans des smartphones d’autres marques, qui ont été notifiées. À noter : les Pixel 9 fraîchement dévoilés ne sont pas concernés.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
Par : Opera
Source :
iVerify