Le système d’exploitation Android est encore victime d’une importante faille de sécurité. Cette dernière met potentiellement en danger les données personnelles de milliards d’utilisateurs, précise Microsoft, qui est à l’origine de sa découverte.
Ces derniers temps, il ne se passe pas une semaine sans que l’on parle d’un malware très dangereux qui cible Android. Cependant, le système d’exploitation en lui-même n’est pas toujours en cause : les applications qui embarquent les logiciels malveillants utilisent des mécaniques spécifiques pour voler des données personnelles. Mais le cas de « Dirty Stream » est différent.
Une faille de sécurité au sein d’Android
En effet, dans le cas signalé le 1er mai dernier par Microsoft, c’est bel et bien un composant important d’Android qui est mis en cause dans l’origine de la faille : il s’agit du fournisseur de contenu d’Android, qui permet aux applications installées de partager et d’accéder aux données à partir d’autres apps ou services intégrés à l’écosystème. En théorie, cela est censé se faire en toute sécurité, mais en pratique, cela peut l’être moins…
Il s’avère que le fournisseur de contenu d’Android est doté d’un système d’autorisations. Et si ces dernières sont mal configurées dans une application, cela peut permettre d’« introduire des vulnérabilités qui pourraient permettre de contourner les restrictions de lecture/écriture dans le répertoire personnel d’une application », explique Microsoft.
Le déroulé de l'utilisation de la faille
La faille détectée pourrait donc permettre à une application malveillante de transmettre un fichier vérolé à une autre application, qui ne se « méfierait » pas, puisque sa source serait présentée comme étant de confiance. C’est ainsi que des fichiers malveillants pourraient se retrouver stockés sur le smartphone, ouvrant ainsi une brèche pour une attaque de plus grande envergure : sont notamment évoqués le vol de données personnelles et le contrôle total d’une application.
De nombreuses applications concernées par « Dirty Stream »
Microsoft a nommé cette pratique « Dirty Stream », que l’on pourrait traduire par « Flux sale ». Et pour qu’elle fonctionne, il faut qu’au moins une application vulnérable soit installée sur le smartphone. Le problème, c’est que selon Microsoft, il y en a un grand nombre qui le sont, et qu’en prime, certaines sont installées par défaut sur certains smartphones.
Pour des questions de sécurité, l’éditeur ne donne pas de liste détaillée des applications concernées : il se contente de citer le gestionnaire de fichiers de Xiaomi ainsi que la suite bureautique WPS Office, puisque ces deux applications ont reçu un correctif et sont donc désormais protégées contre la faille. Mais Microsoft estime que compte tenu des applications qui sont vulnérables, plus de 4 milliards de terminaux fonctionnant sous Android pourraient l’être également.
« Nous avons identifié ce modèle de vulnérabilité dans les versions alors en cours de plusieurs applications Android publiées sur le Google Play Store, dont au moins quatre avec plus de 500 millions d’installations chacune », explique l’éditeur.
Quelle est la conduite à adopter ?
Microsoft demande bien évidemment aux éditeurs alertés par ses soins de corriger au plus vite la ou les failles de leurs applications. Certains ne l’ont, de toute évidence, pas encore fait. Pour les utilisateurs, la firme recommande de s’assurer que les applications installées sont toujours à jour de leur dernière version.
De son côté, Google a réagi en faisant de nouvelles recommandations aux développeurs d’applications, dans le but de limiter l’apparition de vulnérabilités. Reste à savoir si cela sera suffisant pour limiter les dégâts.