Android : plus d'un milliard de terminaux menacés par une élévation de privilèges

Le par  |  8 commentaire(s)
Logo Android

Des chercheurs ont mis au jour des vulnérabilités dites de type Pileup dont l'exploitation permet des attaques par élévation de privilèges sur des terminaux Android. Elles sont présentes au niveau du gestionnaire de paquets et exploitables par des applications lorsque le système est mis à jour.

Des chercheurs de l'université de l'Indiana à Bloomington et de Microsoft Research ont découvert un nouveau type de vulnérabilité. Baptisées failles Pileup, ce sont des vulnérabilités d'élévation de privilèges qui sont exploitées via le mécanisme de mise à jour d'Android et plus particulièrement son gestionnaire de paquets.

SecUP-androidD'après les chercheurs, une application malveillante peut déclarer un ensemble de privilèges et attributs sur une version du système d'exploitation. Ces droits passeront inaperçus. Après une mise à jour du système d'exploitation mobile vers une version supérieure, ils permettront à l'application d'obtenir une élévation de privilèges et ainsi accéder à des données.

Un exemple donné est celui d'une autorisation ADD_VOICEMAIL qui permet à une application d'ajouter des messages vocaux dans le système. Elle sera ignorée dans Android 2.3.6 parce qu'elle n'existe pas dans cette version. Par contre, elle a été ajoutée dans Android 4.0.4. Lors d'une mise à jour vers Android 4.0.4, l'application malveillante sera en mesure d'exploiter l'autorisation sans que l'utilisateur en soit averti.

Threatpost a analysé la publication des chercheurs (PDF) et résume la situation. " La vulnérabilité se produit dans la manière dont le gestionnaire de paquets gère les mises à jour des nombreuses versions d'Android en circulation aujourd'hui ". " Il examine mal les applications qui demandent des privilèges qui n'existent pas sur une ancienne version, mais sont obtenus automatiquement une fois le système mis à jour. "

Ce sont six vulnérabilités Pileup qui ont été identifiées dans le gestionnaire de paquets. Elles sont présentes dans toutes les versions officielles d'Android et pour plus de 3 500 versions personnalisées d'Android qui sont développées par des fabricants de terminaux ou opérateurs. Les chercheurs soulignent que cela représente plus d'un milliard de terminaux Android.

Toutes les failles ont été rapportées à Google et une a été corrigée. Les chercheurs ont créé un outil dénommé SecUP ou Secure Update Scanner. Disponible dans Google Play, il propose un scanner afin de détecter des applications sur un appareil qui pourraient devenir malveillantes à la suite d'une mise à jour du système d'exploitation mobile.


Démo d'une attaque Pileup pour hacker un compte Google

Complément d'information

Vos commentaires

Gagnez chaque mois un abonnement Premium avec GNT : Inscrivez-vous !
Trier par : date / pertinence
Le #1694642
Houuuuu!!! J'ai trop peur.
Le #1694752
Pas sérieux cet OS...
Le #1694782
Que je le regrette mon bon petit Webos ... :-P
Le #1694912
D'un autre côté, la vulnérabilité a été mise en évidence par Microsoft Research ...

Si Google commence à chercher des failles de sécurité sur W8, on va rire ...
Anonyme
Le #1695012
Maintenant quand ça parle de Linux, je vais directement voir si Oldjohn a posté son troll habituel .
Le #1695102
Je ne suis pas sur qu'un milliard de terminaux passent de la version 2.3.6 à 4.0.4. La correction ne devrait pas tarder mais ça me parait très théorique comme attaque.
Le #1695802
d ou la necessite d un wipe all a l install d une nouvelle version d une rom...
Le #1699082
Et après, Google veut notre confiance.
Suivre les commentaires
Poster un commentaire
Anonyme
:) ;) :D ^^ 8) :| :lol: :p :-/ :o :w00t: :roll: :( :cry: :facepalm:
:andy: :annoyed: :bandit: :alien: :ninja: :agent: :doh: :@ :sick: :kiss: :love: :sleep: :whistle: =]