Android : une faille de sécurité en Bluetooth

Google a corrigé cette semaine une faille de sécurité critique dans le composant Bluetooth d’Android. Le bug, CVE-2020-0022, a été découvert et signalé à Google par des experts de la société allemande de cybersécurité ERNW. Les corrections du bug sont disponibles via le bulletin de sécurité Android de février 2020, publié cette semaine.

<=”” p=””>

Aucune interaction requise

Les experts ont expliqué que le bug ne nécessitait aucune interaction de l’utilisateur pour être exploité. Il fallait simplement que le Bluetooth soit activé sur l’appareil. Or, il y a quelques années, cette règle aurait suffi à limiter le problème. Mais les dernières versions d’Android activent le Bluetooth par défaut, et qui plus eux de plus en plus d’utilisateurs utilisent des casques Bluetooth, signifiant que la plupart des appareils Android ont leur Bluetooth activé.

La proximité de la cible est également requise, bien entendu, comme l’implique l’utilisation du Bluetooth.

« Aucune interaction de l’utilisateur n’est requise, seule l’adresse MAC Bluetooth des appareils cibles doit être connue. Pour certains appareils, l’adresse MAC Bluetooth peut être déduite de l’adresse MAC WiFi », ont-ils ajouté. « Cette vulnérabilité peut conduire au vol de données personnelles et pourrait potentiellement être utilisée pour diffuser des logiciels malveillants, comme des vers », précisent les chercheurs du ERNW.

<=”” p=””>

Android 9 et antérieurs

D’après les recherches, cette faille existe sur Android 8 et 9, mais il est possible que les versions antérieures soient également vulnérables. Le CVE-2020-0022 ne fonctionne cependant pas sur Android 10, où il ne fait que provoquer un crash du Bluetooth.

L’équipe du ERNW prévoit de publier plus tard des détails techniques approfondis sur ce BUG mais, en attendant, elle met en garde les utilisateurs d’Android et leur conseille d’installer au plus vite les mises à jour de sécurité de février 2020.

Dans le cas où il n’est pas possible de mettre à jour votre appareil (quelqu’en soit la raison), voici quelques règles pour se protéger d’une éventuelle attaque :

• N’activez le Bluetooth que si c’est strictement nécessaire.
• Veillez à ce que votre appareil ne puisse pas être découvert. La plupart des appareils ne sont détectables que si vous entrez dans le menu Bluetooth. Néanmoins, certains téléphones plus anciens peuvent être découverts de façon permanente.

Source : ZDNet.com