Bug Google Play Store : des millions d’utilisateurs Android en danger

Beaucoup d’apps sur Google Play Store sont encore vulnérables à un bug connu, CVE-2020-8913, qui permet aux pirates de diffuser un code malveillant pour accéder à toutes les ressources de l’hébergement. Les attaquants peuvent ainsi utiliser les applications vulnérables pour voler des données sensibles, telles que des identifiants, des mots de passe et des données de paiement, à d’autres applications sur le même appareil.

Signalée pour la première fois fin août par les chercheurs d’Oversecured, la vulnérabilité permet à un attaquant de diffuser un code malveillant dans des applications vulnérables, garantissant l’accès à toutes les ressources et à toutes les données de l’hébergement, donc de l’appareil qui héberge ces applications. Le défaut réside dans la bibliothèque Play Core de Google, qui permet aux développeurs d’ajouter des mises à jour in-app et de nouveaux modules de fonctionnalités à leurs applications Android. La vulnérabilité permet d’ajouter des modules exécutables à toute application utilisant la bibliothèque, ce qui signifie que du code arbitraire peut être exécuté à l’intérieur. Un attaquant, avec une application malveillante installée sur l’appareil de la victime, pourrait voler toutes ses informations privées.

Les développeurs Android doivent mettre à jour, maintenant !

Google a reconnu et corrigé le bug le 6 avril 2020, avec une note de gravité de 8,8 sur 10. Cependant, le correctif doit être intégré par les développeurs eux-mêmes dans leurs applications respectives, afin que la menace disparaisse complètement. Check Point a décidé de sélectionner un nombre aléatoire d’applications courantes pour voir quels développeurs avaient effectivement implémenté le correctif fourni par Google.