Sécurité IT : des menaces multimédias sur Android

Pour la deuxième fois cette semaine, l’alerte est sonnée autour des problèmes de sécurité posés par la gestion des fichiers multimédias sur Android.

L’éditeur américain Zimperium Mobile Labs avait ouvert le bal ce lundi en communiquant sur l’attaque Stagefright, liée à des failles dans la bibliothèque logicielle du même nom, utilisée pour lire plusieurs formats de vidéos.

Trend Micro renchérit avec une vulnérabilité qui peut être exploitée pour plonger des smartphones dans un état que l’on peut qualifier de végétatif : plus de son ni de vibreur, impossibilité de passer des appels et d’en recevoir, interface quasi inutilisable, téléphone ne pouvant plus être déverrouillé…

Plus de la moitié des terminaux équipés d’Android sont concernés, la faible en question touchant toutes les versions de l’OS entre la 4.3 « Jelly Bean » et la 5.1.1 « Lollipop ».

Deux solutions existent pour s’engouffrer dans la brèche : soit une application malveillante, soit une page Web frauduleuse.

La méthode d’exploitation diffère, mais le principe est le même : tirer parti d’une faiblesse dans le service mediaserver, utilisé pour indexer les fichiers multimédias sur un appareil.

Certains fichiers spécialement conçus avec le conteneur Matroska (généralement en extension .mkv) peuvent entraîner un dépassement d’entier. Soit par saturation de la mémoire tampon en lecture, soit par écriture de données vers l’adresse NULL, valeur considérée comme « impossible ».

L’erreur générée entraîne un crash système et un redémarrage… en boucle, puisque l’application malveillante est paramétrée pour s’exécuter au lancement de l’OS. On se retrouve donc face à une attaque par déni de service (DoS).

C’est plus délicat avec la technique alternative et pour cause : l’ouverture du navigateur est nécessaire pour afficher la page HTML dans laquelle est intégré le fichier .mkv piégé.

L’avantage pour les pirates est que le hack fonctionne même si le préchargement et la lecture automatique sont désactivés, comme c’est le cas par défaut sur la version mobile de Google Chrome.

Une solution : démarrer en mode sans échec afin de ne charger aucune composante tierce. Reste ensuite à accéder à la liste des applications installées, puis supprimer celle qui pose problème.

La communication de Trend Micro intervient plus de deux mois après la soumission de la faille à l’équipe de développement d’Android Open Source Project (AOSP), qui en a accusé réception en lui attribuant… une priorité faible.

Crédit photo : Pavel Ignatov – Shutterstock.com