En juillet 2015, le cabinet de sécurité Zimperium expliquait avoir découvert des vulnérabilités affectant Stagefright, un outil de lecture média intégré à Android. Concrètement un hacker était en mesure d'exécuter du code à distance et de récupérer des informations personnelles. Pour exploiter cette faille il suffisait simplement d'envoyer un MMS. Il était alors possible d'enregistrer les sorties audio et vidéo ou de récupérer les photos stockées sur la carte SD.
Depuis Google a corrigé le problème mais il semblerait que la société NorthBit ait découvert une autre faille au sein de Stagefright. Cele-ci a été testée sur les Nexus 5, LG G3, HTC One et Samsung Galaxy S5. Mails plus globalement, le hack peut petre réalisé auprès des victimes faisant usage de Android 2.2, 4.0, 5.0 et 5.1, soit tout de même quelques millions de personnes...
Sans plus de précisions, les chercheurs expliquent que cette nouvelle attaque contourne les dispositifs mis en place pour la gestion de la mémoire via la distribution aléatoire de l'espace d'adressage. La société estime que n'importe qui peut être en mesure d'orchestrer cette attaque via l'envoi d'un simple message contenant des vidéos. Google plancherait actuellement sur le sujet pour le déploiement d'un correctif.
Voici ci-dessous une vidéo de l'attaque baptisée Metaphor. Retrouvez le détails de ces recherches sur ce document (PDF)
Sur le même sujet
- Un simple MMS pourrait mettre à mal 95% des smartphones Android (maj)
- Android : les détails de la vulnérabilité Stagefright ont été publiés
- Android : vers une accélération des mises à jour de sécurité
