Une faille Java qui facilite le contour de signatures d’applications Android
On se rappellera toujours du logiciel Java lorsqu’il s’agit de mentionner les logiciels vulnérables. Il est cependant question cette fois-ci de la plateforme mobile Android de Google. Dans son processus de mise à jour d’une faille de sécurité du système d’exploitation mobile de Google, découverte en Juillet 2013, le groupe chinois expert en sécurité Android Security Squad vient de révéler une faille similaire, mais due à Java cette fois-ci.
La particularité de la nouvelle faille de sécurité découverte par le groupe d’experts chinois est qu’elle est reliée à la version mobile de la machine virtuelle de Java (JVM), c’est à dire le Dalvik Virtual Machine, qui est un composant logiciel permettant l’exécution d’applications mobiles android.
Comme l’explique Android Security Squad sur son blog, « Un attaquant peut modifier l’apk original, mais ne modifie pas la signature de son apk d’origine. » Un apk étant le format de fichier du paquet permettant la distribution et l’installation d’applications android. Cette modification de l’apk créerait donc de ce fait une porte d’accès à l’application.
L’algorithme de compression de ces apk serait ainsi la cause du problème. Un correctif a été apporté au problème et Google n’a émis aucun commentaire la dessus. Les concepteurs de dispositifs mobiles étant fortement invités à mettre à jour leur système.
