{"id":1282721,"date":"2024-08-16T05:58:04","date_gmt":"2024-08-16T07:58:04","guid":{"rendered":"https:\/\/teknomers.com\/fr\/les-appareils-google-pixel-livres-avec-une-application-vulnerable-mettant-des-millions-de-personnes-en-danger\/"},"modified":"2024-08-16T05:58:08","modified_gmt":"2024-08-16T07:58:08","slug":"les-appareils-google-pixel-livres-avec-une-application-vulnerable-mettant-des-millions-de-personnes-en-danger","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/les-appareils-google-pixel-livres-avec-une-application-vulnerable-mettant-des-millions-de-personnes-en-danger\/","title":{"rendered":"Les appareils Google Pixel livr\u00e9s avec une application vuln\u00e9rable, mettant des millions de personnes en danger"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>16 ao\u00fbt 2024<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span>S\u00e9curit\u00e9 mobile \/ S\u00e9curit\u00e9 logicielle<\/span><\/p>\n<\/div>\n

\n
<\/a><\/div>\n

Un pourcentage important des appareils Pixel de Google livr\u00e9s dans le monde depuis septembre 2017 incluaient des logiciels dormants qui pouvaient \u00eatre utilis\u00e9s pour lancer des attaques n\u00e9fastes et diffuser divers types de logiciels malveillants.<\/p>\n

Le probl\u00e8me se manifeste sous la forme d’une application Android pr\u00e9install\u00e9e appel\u00e9e \u00ab Showcase.apk \u00bb qui est dot\u00e9e de privil\u00e8ges syst\u00e8me excessifs, notamment la possibilit\u00e9 d’ex\u00e9cuter du code \u00e0 distance et d’installer des packages arbitraires sur l’appareil, selon la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 mobile iVerify.<\/p>\n

\u00ab L’application t\u00e9l\u00e9charge un fichier de configuration via une connexion non s\u00e9curis\u00e9e et peut \u00eatre manipul\u00e9e pour ex\u00e9cuter du code au niveau du syst\u00e8me \u00bb, a-t-il d\u00e9clar\u00e9. dit<\/a> dans une analyse publi\u00e9e conjointement avec Palantir Technologies et Trail of Bits.<\/p>\n

\u00ab L’application r\u00e9cup\u00e8re le fichier de configuration \u00e0 partir d’un seul domaine bas\u00e9 aux \u00c9tats-Unis et h\u00e9berg\u00e9 sur AWS via un protocole HTTP non s\u00e9curis\u00e9, ce qui rend la configuration vuln\u00e9rable et peut rendre l’appareil vuln\u00e9rable. \u00bb<\/p>\n

\"Cybers\u00e9curit\u00e9\"<\/a><\/center><\/div>\n

L’application en question s’appelle Mode d\u00e9mo de Verizon Retail<\/a> (\u00ab com.customermobile.preload.vzw \u00bb), qui n\u00e9cessite<\/a> pr\u00e8s de trois douzaines d’autorisations diff\u00e9rentes bas\u00e9es sur des artefacts t\u00e9l\u00e9charg\u00e9s sur VirusTotal plus t\u00f4t en f\u00e9vrier, y compris l’emplacement et le stockage externe. Reddit<\/a> et Forums XDA<\/a> montrent que le package existe depuis ao\u00fbt 2016.<\/p>\n

Le n\u0153ud du probl\u00e8me est li\u00e9 au fait que l’application t\u00e9l\u00e9charge un fichier de configuration via une connexion Web HTTP non chiffr\u00e9e, par opposition \u00e0 HTTPS, ce qui ouvre la porte \u00e0 la modification de ce fichier pendant son transfert vers le t\u00e9l\u00e9phone cibl\u00e9. Il n’existe aucune preuve que cette m\u00e9thode ait jamais \u00e9t\u00e9 explor\u00e9e dans la nature.<\/p>\n\n\n\n\n
\"Google<\/a><\/td>\n<\/tr>\n
Autorisations demand\u00e9es par l’application Showcase.apk<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Il convient de noter que l’application n’est pas un logiciel d\u00e9velopp\u00e9 par Google. Elle a \u00e9t\u00e9 d\u00e9velopp\u00e9e par une soci\u00e9t\u00e9 de logiciels d’entreprise appel\u00e9e Smith Micro pour mettre l’appareil en mode d\u00e9mo. On ne sait pas encore pourquoi un logiciel tiers est directement int\u00e9gr\u00e9 au firmware Android, mais, en arri\u00e8re-plan, un repr\u00e9sentant de Google a d\u00e9clar\u00e9 que l’application appartient \u00e0 Verizon et est requise sur tous les appareils Android.<\/p>\n

Le r\u00e9sultat net est que les smartphones Android Pixel sont vuln\u00e9rables aux attaques de type \u00ab adversaire du milieu \u00bb (AitM), accordant aux acteurs malveillants le pouvoir d\u2019injecter du code malveillant et des logiciels espions.<\/p>\n

Outre le fait qu’elle s’ex\u00e9cute dans un contexte hautement privil\u00e9gi\u00e9 au niveau du syst\u00e8me, l’application \u00ab ne parvient pas \u00e0 authentifier ou \u00e0 v\u00e9rifier un domaine d\u00e9fini statiquement lors de la r\u00e9cup\u00e9ration du fichier de configuration de l’application \u00bb et \u00ab utilise une initialisation de variable par d\u00e9faut non s\u00e9curis\u00e9e lors de la v\u00e9rification du certificat et de la signature, ce qui entra\u00eene des contr\u00f4les de v\u00e9rification valides apr\u00e8s un \u00e9chec \u00bb.<\/p>\n

Cela dit, la criticit\u00e9 de la faille est att\u00e9nu\u00e9e dans une certaine mesure par le fait que l’application n’est pas activ\u00e9e par d\u00e9faut, bien qu’il ne soit possible de le faire que lorsqu’un acteur de la menace a un acc\u00e8s physique \u00e0 un appareil cible et que le mode d\u00e9veloppeur est activ\u00e9.<\/p>\n

\"Cybers\u00e9curit\u00e9\"<\/a><\/center><\/section>\n

\u00ab \u00c9tant donn\u00e9 que cette application n’est pas intrins\u00e8quement malveillante, la plupart des technologies de s\u00e9curit\u00e9 peuvent l’ignorer et ne pas la signaler comme malveillante, et comme l’application est install\u00e9e au niveau du syst\u00e8me et fait partie de l’image du micrologiciel, elle ne peut pas \u00eatre d\u00e9sinstall\u00e9e au niveau de l’utilisateur \u00bb, a d\u00e9clar\u00e9 iVerify.<\/p>\n

Dans une d\u00e9claration partag\u00e9e avec The Hacker News, Google a d\u00e9clar\u00e9 qu’il ne s’agissait pas d’une vuln\u00e9rabilit\u00e9 de la plateforme Android ni de Pixel, et qu’elle \u00e9tait li\u00e9e \u00e0 un fichier de package d\u00e9velopp\u00e9 pour les appareils de d\u00e9monstration en magasin Verizon. Il a \u00e9galement d\u00e9clar\u00e9 que l’application n’\u00e9tait plus utilis\u00e9e.<\/p>\n

\u00ab L’exploitation de cette application sur le t\u00e9l\u00e9phone d’un utilisateur n\u00e9cessite \u00e0 la fois un acc\u00e8s physique \u00e0 l’appareil et le mot de passe de l’utilisateur \u00bb, a d\u00e9clar\u00e9 un porte-parole de Google. \u00ab Nous n’avons constat\u00e9 aucune preuve d’exploitation active. Par mesure de pr\u00e9caution, nous allons supprimer cette application de tous les appareils Pixel pris en charge sur le march\u00e9 avec une prochaine mise \u00e0 jour du logiciel Pixel. L’application n’est pas pr\u00e9sente sur les appareils de la s\u00e9rie Pixel 9. Nous informons \u00e9galement les autres fabricants d’\u00e9quipement d’origine Android. \u00bb<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Gazouillement \uf099<\/i><\/a> et LinkedIn<\/a> pour lire davantage de contenu exclusif que nous publions.<\/div>\n<\/div>\n