Overblog Suivre ce blog
Editer l'article Administration Créer mon blog
quoideneuf1.over-blog.com

Android: Une vulnérabilité touche potentiellement 75% des appareils

18 Septembre 2014 , Rédigé par nicko Publié dans #informatique

Android: Une vulnérabilité touche potentiellement 75% des appareils

une nouvelle faille de sécurité vient d’être découverte par les experts de Rapid7, une société spécialisée dans la sécurité des systèmes informatiques. Les mots utilisés pour la qualifier font froid dans le dos : « il s’agit d’un véritable désastre pour vos données personnelles ».

Normalement, lorsque vous naviguez et que vous ouvrez plusieurs onglets simultanément, le code JavaScript téléchargé pour un site A, et donc s'exécutant dans un onglet, ne peut pas accéder aux données chargées pour un autre site B et donc appartenant à un autre onglet. Autrement dit, l'environnement d'exécution de JavaScript est confiné au contexte qu'est la page ou au domaine auquel appartient la page, s'il s'agit d'accéder à des ressources supplémentaires. Une restriction qui s'appelle la Same Origin Policy, ou SOP.

Seulement voilà, le navigateur par défaut d'Android, qui est le navigateur Android Open Source Project ou AOSP ne respecte pas tout simplement pas la SOP.

Utilisée correctement, cette faille permet à une personne mal intentionnée de voler l’intégralité de vos données utilisateurs, et notamment vos données de navigation, cookies, sites récemment consultés, mots de passe enregistrés, etc…

Par exemple si vous avez gardé un webmail ouvert et que vous visitez depuis un autre onglet une page web dont le JavaScript exploite cette faille, l'attaquant peut lire tous vos mails.

De la même manière un attaquant peut dérober des cookies de sessions. Des cookies de connexion au site de votre banque par exemple, pour s'y connecter en usurpant votre identité.

La vulnérabilité n'aurait pas encore été exploitée jusqu'à ce jour. L'information est bien sûr à prendre avec les plus grandes réserves, et de toutes façons, puisque cette faille est désormais rendue publique, et qu'elle est facile à exploiter, les exploits ne vont pas tarder.

Sont potentiellement touchés tous les systèmes Android antérieurs à Android 4.4 alias KitKat, ce qui représente à l'heure actuelle 75% des smartphones Android.

Les premiers tests ont été effectués via le navigateur avec Android 4.2.1 (QMobile), image du test ci-dessous avec un Galaxy S3, HTC wildfire, Sony Xperia, etc QMobile

Potentiellement, car bien sûr seuls les utilisateurs qui utilisent le navigateur par défaut AOSP peuvent être attaqués par ce moyen. Et, à priori, la seule façon de se protéger de cette vulnérabilité est pour l'instant d'utiliser un navigateur alternatif, si l'on ne peut pas mettre à jour son smartphone vers Android KitKat..

Google a été averti par Rapid7 mais n'a pour l'instant pas réagi.

Source: Programmez , Planetegalaxy , Freehacking

Pour désactiver le navigateur Web par défaut de votre appareil Android allez dans Paramètres> Applications>

Android: Une vulnérabilité touche potentiellement 75% des appareils

En l'ouvrant, vous trouverez un bouton Désactiver, sélectionnez-le et désactivez le navigateur.

Android: Une vulnérabilité touche potentiellement 75% des appareils

Partager cet article

Repost 0

Commenter cet article

s3 browser 25/06/2016 07:11

Please Visit On It & Get 100 MB Free.