Android : une faille de sécurité critique touche le Bluetooth
Google semble bien décidé à entretenir le mythe autour de la sécurité d'Android. Souvent décrié, le petit robot vert continue sur sa lancée. Pour la deuxième fois en une semaine, l'OS de Google rencontre des problèmes de sécurité. Après les applications infectées du Play Store, des chercheurs ont découvert une faille dans le sous-système Bluetooth.
Kan Ruge, chercheur chez ERNW, révèle sur le blog de cette entreprise de sécurité allemande que cette faille (CVE-2020-0022) permet d'exécuter du code à distance. En exploitant la vulnérabilité dans le sous-système Bluetooth, un attaquant pourrait prendre le contrôle d'un smartphone ou d'une tablette sans interaction de la part de son propriétaire. Seul prérequis obligatoire : détenir l'adresse MAC Bluetooth qui peut être déduite depuis l'adresse MAC Wi-Fi (sur certains terminaux).
Si le chercheur en sécurité assure qu'Android 10 est épargné, les versions 8.0 et 9.0 sont concernées. Les versions précédentes sont potentiellement touchées par cette vulnérabilité, mais le chercheur reste prudent puisqu'il ne les a pas évaluées.
Google publie un correctif...
seulement pour les Pixel
Google indique avoir déjà corrigé la faille et publié un correctif. Attention tout de même : seuls les Pixel peuvent installer la mise à jour de sécurité. Pour les autres, il faudra donc attendre et consulter désespérément votre onglet « mises à jour » dans les paramètres de votre appareil.
La faille concernant principalement des modèles sous Android 8.0 et 9.0, un nombre non négligeable de terminaux ne reçoivent plus les correctifs de sécurité. En résumé, ces smartphones et tablettes restent vulnérables.
Pour ces cas, les chercheurs indiquent deux méthodes pour se prémunir d'une attaque. La plus radicale consiste à désactiver complètement la connexion Bluetooth. La plus recommandée pour continuer à utiliser son terminal quotidiennement : désactiver l'option rendant votre mobile visible pour les appareils à proximité. Dans les deux cas, on a connu plus user friendly.