Les chercheurs en sécurité d’iVerify ont découvert une faille de sécurité pour le moins étonnante touchant les smartphones Pixel. Showcase.apk, une application système développée par une entreprise tierce pour le compte de l’opérateur américain Verizon, est présente dans toutes les versions d’Android de nombreux smartphones de Google depuis septembre 2017. Son rôle ? Basculer les appareils en mode démo dans les magasins.
Une faille dangereuse, mais difficile à exploiter
Showcase jouit d’un accès privilégié aux couches basses des Pixel. Ces privilèges élevés lui permet d’exécuter du code et d’installer des applications à distance. Les chercheurs ont établi qu’elle téléchargeait un fichier de configuration via une connexion non sécurisée (en HTTP), ce qui pourrait permettre à un pirate d’en prendre le contrôle… et par extension, de l’appareil tout entier.
Le risque est toutefois limité : par défaut, le package est en effet désactivé, et il faut un accès physique à l’appareil pour l’activer. Il pourrait toutefois exister d’autres méthodes d’activation, ce qui augmente la menace. La faille a été signalée à Google au mois de mai, et le délai de grâce des 90 jours durant lequel l’entreprise peut réagir sans que la vulnérabilité soit rendue publique est terminée.
Cette lenteur dans la réponse a incité l’entreprise Palantir, qui a aidé iVerify à identifier la faille, à cesser d’utiliser des appareils Android, y compris les Pixel : la confiance dans la sécurité de l’écosystème est en effet érodée. Google a certes promis une mise à jour qui supprimera le package, mais le moteur de recherche n’exclut pas que Showcase soit présent dans des smartphones d’autres marques, qui ont été notifiées. À noter : les Pixel 9 fraîchement dévoilés ne sont pas concernés.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
Source : iVerify
Et comme vous avez fait un travail journalistique et que vous avez sûrement plusieurs pixels dans vos locaux, vous avez vérifié si vous même constatiez cette application ?!?
Parce qu’en tout cas, moi, sur un Pixel 8 Pro français, acheté chez Google dès sa sortie, avec Android 14 et la mise a jour du 5 août, je ne constate aucune application système qui contient le mot “show”.
J’aimerais bien voir, pour ce genre d’informations, qu’un minimum de recherches soient faites pour corroborer ou infirmer, en conservant une formulation prudente. Ça ne devrait pas être difficile pour vous de vérifier l’info.