Votre smartphone Android peut être piraté simplement en jouant une vidéo malveillante

Il faut se méfier! Ouvrir une vidéo sur Android peut pirater votre smartphone

Plus d’un milliard d’appareils exécutant des versions entre Android 7.0 Nougat et Android 9.0 Pie sont confrontés à une vulnérabilité critique d’exécution de code à distance (RCE), rapporte The Hacker News.

La faille critique de RCE (CVE-2019-2107) en question réside dans la structure Android Media utilisée pour la lecture de contenu multimédia. Si elle est exploitée, la vulnérabilité permet à un pirate informatique de lancer une attaque à distance en utilisant un fichier spécialement créé pour exécuter du code arbitraire sur le smartphone cible.

L’attaquant doit simplement encourager l’utilisateur à lire un fichier vidéo malveillant spécialement conçu via le lecteur vidéo Android natif ou une application vidéo tierce utilisant le cadre Android Media. Il peut ensuite, avec une charge utile, obtenir une élévation de privilèges, puis un contrôle complet de l’appareil.

Plus tôt ce mois-ci, Google a publié une mise à jour de sécurité pour cette vulnérabilité critique.

« La vulnérabilité la plus grave de cette section [média framework] pourrait permettre à un attaquant distant utilisant un fichier spécialement conçu d’exécuter du code arbitraire dans le contexte d’un processus privilégié », a expliqué Google dans son bulletin de sécurité Android de juillet. Cependant, des millions de smartphones Android sont toujours vulnérables, car ils n’ont pas encore reçu la dernière mise à jour de sécurité.

Pour aggraver les choses, Marcin Kozlowski, développeur allemand basé sur Android, a mis en ligne une preuve de concept pour cette attaque sur GitHub, qui permet de planter des appareils via un fichier vidéo. Le PoC inclut également des détails sur la manière de réaliser une RCE sur les téléphones LineageOS et Samsung.

Alors que la PoC (une vidéo codée HEVC) partagée par Kozlowski ne fait que bloquer le lecteur multimédia, le chercheur a averti qu’il était possible d’exécuter du code arbitraire sur des périphériques ciblés avec une vidéo correctement préparée.

Il convient de noter que l’attaque ne fonctionne pas si de telles vidéos malveillantes sont reçues via des plateformes de médias sociaux telles que Twitter, WhatsApp, YouTube ou Messenger, car ces services avant l’envoi compressent généralement les vidéos et réencodent les fichiers multimédias, ce qui modifie la code malicieux.

Par conséquent, il est conseillé aux utilisateurs d’éviter de télécharger et de lire des vidéos au hasard à partir de sources inconnues ou non fiables. Les utilisateurs sont également invités à installer la dernière mise à jour de sécurité Android dès qu’un correctif est disponible.

Source: https://www.techworm.net/