Google honore son rendez-vous mensuel pour Android consacré à la sécurité. C'est la cinquième fois consécutive depuis l'instauration de cette politique l'été dernier suite à l'affaire de la vulnérabilité Stagefright.
Pour ses appareils Nexus, Google diffuse une mise à jour de sécurité visant à corriger un total de 19 vulnérabilités dont cinq sont cataloguées critiques. Plusieurs d'entre elles affectent des composants relatifs au traitement multimédia du système d'exploitation mobile. La bonne nouvelle est qu'il n'y a pour le moment aucun rapport d'une exploitation active.
Une vulnérabilité critique est de type élévation de privilèges et peut permettre une compromission permanente d'un appareil en local. La raison s'explique par une exploitation dans un contexte root. Le cas échéant, un code malveillant introduit ne pourra être annihilé qu'avec un re-flashage de l'OS.
Les autres vulnérabilités critiques sont de type exécution de code à distance. Elles peuvent être exploitées via la lecture de fichiers multimédia spécialement conçus. Les vecteurs d'attaque sont le navigateur, l'email ou encore les MMS. Les composants affectés sont le moteur graphique Skia, Mediaserver et le driver en mode utilisateur chargé par Mediaserver.
Si les appareils Nexus sont les premiers à recevoir la mise à jour de sécurité idoine d'Android, d'autres fabricants comme Samsung et LG suivront dans les prochains jours. Comme à chaque fois, des terminaux ne verront cependant jamais passer ladite mise à jour.
