IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)
Navigation

Inscrivez-vous gratuitement
pour pouvoir participer, suivre les réponses en temps réel, voter pour les messages, poser vos propres questions et recevoir la newsletter

Android Discussion :

Trend Micro publie une faille permettant d’exécuter du code arbitraire sur Android


Sujet :

Android

  1. #1
    Chroniqueur Actualités

    Homme Profil pro
    Webmaster
    Inscrit en
    janvier 2014
    Messages
    1 035
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Paris (Île de France)

    Informations professionnelles :
    Activité : Webmaster
    Secteur : High Tech - Éditeur de logiciels

    Informations forums :
    Inscription : janvier 2014
    Messages : 1 035
    Points : 25 318
    Points
    25 318
    Par défaut Trend Micro publie une faille permettant d’exécuter du code arbitraire sur Android
    Trend Micro publie une faille permettant d’exécuter du code arbitraire sur Android
    un correctif est déjà disponible

    La firme de sécurité Trend Micro vient de publier une nouvelle faille découverte dans le programme mediaserver du système Android. Celle-ci fait suite à trois bugs importants découverts récemment dans le composant du programme mediaserver d’Android y compris la faille stagefright permettant d’installer un logiciel malveillant à partir d’un message multimédia.

    La faille découverte est caractérisée par des faiblesses de ce programme qui sont telles qu’une personne malveillante pourrait exécuter du code arbitraire sur le système d’exploitation.

    Pour y arriver, l’attaquant devra emmener l’utilisateur à accepter, dans un premier temps, l’installation d’une application qui ne requiert pas de permissions afin de ne pas éveiller les soupçons d’une infection. Une fois cela effectué, l’attaquant peut déclencher son attaque à tout moment.

    Pour l’exécuter, il va utiliser une vulnérabilité du composant AudioEffect du programme mediaserver qui effectue une mauvaise vérification des tailles des tampons pReplyData et pCmdData fournies par l’application de l’attaquant.

    En principe le programme mediaserver suppose que les tailles des mémoires tampon pReplyData et pCmdData fournies dans l’application tierces sont plus grandes que la mémoire tampon pCmdData. Mais lorsque le tiers malveillant fournit dans les paramètres de son application, une taille de la mémoire tampon pReplyData inférieure à celle du tampon pCmdData lue par le composant du mediaserver, il en résulte un débordement de la mémoire heap.

    Un attaquant pourrait également utiliser ce bug pour accéder aux données personnelles de l’utilisateur dans la mesure où le composant du mediaserveur s’occupe des traitements multimédias tels que la lecture des fichiers mp4, la prise de photo et l’enregistrement des vidéos.

    Ce bug affecte Android à partir de la version 2.3 jusqu’à la version la plus récente, c’est-à-dire Android 5.1.1 (Lollipop). Même les versions d’Android personnalisées par les constructeurs sont concernées par cette faille si le composant du mediaserver n’a pas été modifié.

    Pour se débarrasser d’une telle infection, les utilisateurs peuvent utiliser des solutions de sécurité propriétaires ou pour les plus avertis, redémarrer leur système en mode sans échec afin de la désinstaller.

    Cette faille découverte par Trend Micro a été rapportée à l’équipe d’Android qui l’a classée comme une vulnérabilité de forte sévérité. Depuis le 1er aout, un correctif est disponible sur sa plateforme Android. Reste seulement à espérer que les constructeurs le mettront à la disposition de leurs chalands le plus tôt possible.

    Source : Trend Micro

    Et vous ?

    Que pensez-vous de cette nouvelle faille dans le programme mediaserver ?
    Contribuez au club : Corrections, suggestions, critiques, ... : Contactez le service news et Rédigez des actualités

  2. #2
    Expert confirmé
    Avatar de TiranusKBX
    Homme Profil pro
    Développeur C, C++, C#, Python, PHP, HTML, JS, Laravel, Vue.js
    Inscrit en
    avril 2013
    Messages
    1 476
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 32
    Localisation : France, Seine et Marne (Île de France)

    Informations professionnelles :
    Activité : Développeur C, C++, C#, Python, PHP, HTML, JS, Laravel, Vue.js
    Secteur : High Tech - Éditeur de logiciels

    Informations forums :
    Inscription : avril 2013
    Messages : 1 476
    Points : 4 746
    Points
    4 746
    Billets dans le blog
    6
    Par défaut
    Etant donné que la plupart des terminaux Android sont sous une version ne bénéficiant pas de ce correctif et qu'il est impossible de les migrer sur la nouvelle version contrairement aux PC.
    Je trouve plutôt irresponsable de leur part de communiquer dessus, la on voit bien que la seule chose qui les intéresse c'est de ce faire de la pub sur le dos des autres
    Rien, je n'ai plus rien de pertinent à ajouter

  3. #3
    Membre averti
    Profil pro
    Inscrit en
    juillet 2010
    Messages
    80
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations forums :
    Inscription : juillet 2010
    Messages : 80
    Points : 322
    Points
    322
    Par défaut
    Ne pas communiquer sur les failles cache un peu la misère mais n’enlève pas grand chose au problème : les failles sont là et ont été trouvées.

    Il est vraiment temps que Google prenne conscience que la manière de distribuer son OS est irresponsable!

    Un OS doit recevoir des mises à jour de sécurité pendant "sa durée de vie" (>10 ans pour Microsoft)!

    Basta les customs des opérateurs tant que Google n'arrive pas à trouver un système de mise à jour live pour eux...

  4. #4
    Expert confirmé
    Avatar de TiranusKBX
    Homme Profil pro
    Développeur C, C++, C#, Python, PHP, HTML, JS, Laravel, Vue.js
    Inscrit en
    avril 2013
    Messages
    1 476
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 32
    Localisation : France, Seine et Marne (Île de France)

    Informations professionnelles :
    Activité : Développeur C, C++, C#, Python, PHP, HTML, JS, Laravel, Vue.js
    Secteur : High Tech - Éditeur de logiciels

    Informations forums :
    Inscription : avril 2013
    Messages : 1 476
    Points : 4 746
    Points
    4 746
    Billets dans le blog
    6
    Par défaut
    Citation Envoyé par kiprok Voir le message
    Ne pas communiquer sur les failles cache un peu la misère mais n’enlève pas grand chose au problème : les failles sont là et ont été trouvées.

    Il est vraiment temps que Google prenne conscience que la manière de distribuer son OS est irresponsable!

    Un OS doit recevoir des mises à jour de sécurité pendant "sa durée de vie" (>10 ans pour Microsoft)!

    Basta les customs des opérateurs tant que Google n'arrive pas à trouver un système de mise à jour live pour eux...
    ce n'est pas certain mais il semblerait que pour Android 6.x ce soit prévus cette reprise de contrôle mais on verras bien
    Rien, je n'ai plus rien de pertinent à ajouter

  5. #5
    Membre à l'essai
    Homme Profil pro
    Inscrit en
    décembre 2011
    Messages
    11
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France

    Informations forums :
    Inscription : décembre 2011
    Messages : 11
    Points : 12
    Points
    12
    Par défaut Copie à revoir
    Comme l'a dit Kiprok, il faut revoir le modèle des maj de l'os en lui même, car les opérateurs téléphoniques ne pensent qu'à une chose ... Contraindre le possesseur de smartphone ancien à changer donc à acheter un appareil qui portera les corrections des différents bogues trouvés. Google devra reconsidérer sa copie par respect aux utilisateurs qui croient en ce système d’exploitation !!!

Discussions similaires

  1. Réponses: 1
    Dernier message: 30/07/2015, 15h17
  2. Réponses: 2
    Dernier message: 24/07/2015, 17h21
  3. FREAK : une faille permettant d’espionner les connexions chiffrées
    Par Hinault Romaric dans le forum Actualités
    Réponses: 9
    Dernier message: 20/03/2015, 10h05
  4. Réponses: 17
    Dernier message: 20/11/2014, 17h58
  5. Réponses: 10
    Dernier message: 10/09/2013, 09h20

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo