Si vous avez un smartphone Xiaomi, n’oubliez pas de mettre à jour votre système MIUI vers la version 7.2, si ce n’est pas déjà fait. Les versions antérieures de cette version d’Android sont vulnérables à une attaque de type « Man in the Middle » (interception et altération des échanges réseaux), permettant de pirater le terminal depuis un réseau Wifi par exemple.
Découverte par les chercheurs en sécurité d’IBM X-Force, cette attaque s’appuie sur une faille liée à un paquet logiciel (« analytics ») qui est utilisé dans plusieurs applications de MIUI. Le problème réside dans la procédure de mise à jour de ce logiciel, qui se fait par une simple connexion HTTP, sans aucun chiffrement, ni vérification cryptographique. Un pirate peut donc, sans grande difficulté, usurper l’identité du serveur de mise à jour et provoquer l’installation de son propre paquet logiciel sur le terminal. Celui-ci s’exécutera ensuite avec les privilèges système, permettant de prendre le contrôle de l’appareil.
Pas une nouveauté, malheureusement
Selon IBM X-Force, plus de 70 millions de smartphones Xiaomi ont été vendus en 2015. De plus, comme le système MIUI est disponible librement, il est certainement installé sur bien d’autres smartphones. Les chercheurs estiment le nombre de terminaux vulnérables à plusieurs millions.
Ce n’est pas la première fois que ce type de faille est documenté. Récemment, les éditeurs de logiciels antivirus pour smartphone ont été épinglés par l’institut Fraunhofer pour exactement la même chose : des mises à jour insuffisamment sécurisées permettant des attaques de type « Man in the Middle ». A ce titre, IBM X-Force rappelle aux développeurs qu’il faut implémenter la procédure de mise à jour de telle manière à ce que les échanges soient toujours chiffrés et les paquets logiciels systématiquement signés.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
