La Cybersecurity and Infrastructure Security Agency (CISA) des \u00c9tats-Unis a ajout\u00e9e<\/a> deux vuln\u00e9rabilit\u00e9s \u00e0 son catalogue de vuln\u00e9rabilit\u00e9s exploit\u00e9es connues (KEV), sur la base de preuves d’exploitation active.<\/p>\n Les deux d\u00e9fauts sont \u00e9num\u00e9r\u00e9s ci-dessous –<\/p>\n “Android Framework contient une vuln\u00e9rabilit\u00e9 non sp\u00e9cifi\u00e9e qui permet une \u00e9l\u00e9vation des privil\u00e8ges apr\u00e8s la mise \u00e0 jour d’une application vers un SDK cible sup\u00e9rieur sans privil\u00e8ges d’ex\u00e9cution suppl\u00e9mentaires n\u00e9cessaires”, CISA a dit<\/a> dans un avis pour CVE-2023-20963.<\/p>\n Google, dans son Android Security Bulletin mensuel de mars 2023, reconnu<\/a> “il y a des indications que CVE-2023-20963 pourrait faire l’objet d’une exploitation limit\u00e9e et cibl\u00e9e.”<\/p>\n Le d\u00e9veloppement intervient alors que le site d’actualit\u00e9s technologiques Ars Technica divulgu\u00e9<\/a> \u00c0 la fin du mois dernier, des applications Android sign\u00e9es num\u00e9riquement par la soci\u00e9t\u00e9 chinoise de commerce \u00e9lectronique Pinduoduo ont militaris\u00e9 la faille pour prendre le contr\u00f4le des appareils et voler des donn\u00e9es sensibles, citant une analyse de la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 mobile Lookout. <\/p>\n Parmi les principales fonctionnalit\u00e9s de l’application contenant des logiciels malveillants, citons le gonflement du nombre d’utilisateurs actifs quotidiens et d’utilisateurs actifs mensuels de Pinduoduo, la d\u00e9sinstallation d’applications concurrentes, l’acc\u00e8s aux notifications et aux informations de localisation, et l’emp\u00eachement d’\u00eatre d\u00e9sinstall\u00e9.<\/p>\n CNN, dans un rapport de suivi<\/a> publi\u00e9 plus t\u00f4t ce mois-ci, a d\u00e9clar\u00e9 qu’une analyse de la version 6.49.0 de l’application a r\u00e9v\u00e9l\u00e9 un code con\u00e7u pour obtenir une escalade des privil\u00e8ges et m\u00eame suivre l’activit\u00e9 des utilisateurs sur d’autres applications d’achat.<\/p>\n Les exploits ont permis \u00e0 l’application malveillante d’acc\u00e9der aux contacts, aux calendriers et aux albums photo des utilisateurs sans leur consentement et ont demand\u00e9 un “grand nombre d’autorisations au-del\u00e0 des fonctions normales d’une application d’achat”, a d\u00e9clar\u00e9 la cha\u00eene d’information.<\/p>\n Il convient de souligner que Google suspendu<\/a> L’application officielle de Pinduoduo sur le Play Store en mars, citant des logiciels malveillants identifi\u00e9s dans les “versions hors Play” du logiciel.<\/p>\n Ma\u00eetrisez l’art de la collecte de renseignements sur le dark web<\/p>\n Apprenez l’art d’extraire des informations sur les menaces du dark web – Rejoignez ce webinaire dirig\u00e9 par des experts\u00a0!<\/p>\n Sauvez ma place\u00a0!<\/a><\/div>\n Cela dit, on ne sait toujours pas comment ces fichiers APK ont \u00e9t\u00e9 sign\u00e9s avec la m\u00eame cl\u00e9 utilis\u00e9e pour signer l’application Pinduoduo l\u00e9gitime. Cela indique soit une fuite cl\u00e9, le travail d’un initi\u00e9 voyou, un compromis du pipeline de construction de Pinduoduo, soit une tentative d\u00e9lib\u00e9r\u00e9e de la soci\u00e9t\u00e9 chinoise de distribuer des logiciels malveillants.<\/p>\n La deuxi\u00e8me vuln\u00e9rabilit\u00e9 ajout\u00e9e au catalogue KEV concerne une vuln\u00e9rabilit\u00e9 de d\u00e9s\u00e9rialisation non s\u00e9curis\u00e9e dans le logiciel Novi Survey qui permet \u00e0 des attaquants distants d’ex\u00e9cuter du code sur le serveur dans le contexte du compte de service.<\/p>\n Le probl\u00e8me, qui affecte les versions de Novi Survey ant\u00e9rieures \u00e0 8.9.43676, \u00e9tait adress\u00e9<\/a> par le fournisseur bas\u00e9 \u00e0 Boston plus t\u00f4t cette semaine, le 10 avril 2023. On ne sait actuellement pas comment la faille est exploit\u00e9e dans des attaques r\u00e9elles.<\/p>\n Pour contrer les risques pos\u00e9s par les vuln\u00e9rabilit\u00e9s, il est conseill\u00e9 aux agences du Federal Civilian Executive Branch (FCEB) aux \u00c9tats-Unis d’appliquer les correctifs n\u00e9cessaires d’ici le 4 mai 2023.<\/p>\n <\/p>\n\n