Android: plus d'un milliard de terminaux vulnérables à une faille Linux

Une mauvaise gestion des connexions TCP dans le noyau Linux permet d'injecter des données dans des connexions non chiffrées et, le cas échéant, réaliser des attaques de phishing.

La semaine dernière, des chercheurs en sécurité ont présenté, à l'occasion de la conférence Usenix 2016, une faille dans le protocole réseaux TCP permettant de détecter et de modifier à distance des connexions entre deux ordinateurs. Cette faille concerne la dernière version de TCP, à savoir RFC 5961. Celle-ci a été implémentée dans le noyau Linux depuis sa version 3.6, mais pas dans Windows, ni dans Mac OS X.

Les risques sont multiples. Cette faille permet à un attaquant de savoir si deux ordinateurs sont en train de communiquer rien qu'en connaissant leurs adresses IP. Elle permet également d'interrompre ces connexions. Et si ces dernières ne sont pas chiffrées, elle permet aussi d'y injecter des données, et ceci sans avoir un accès privilégié à un réseau quelconque. Il lui suffit simplement d'avoir accès à Internet. A titre d'exemple, les chercheurs ont montré une attaque sur le site USAToday.com.

Malheureusement, cette faille ne concerne pas seulement les serveurs sous Linux, mais aussi un grand nombre de smartphones Android qui, rappelons-le, s'appuient également sur le noyau Linux. L'éditeur Lookout vient de faire le calcul. Selon lui, plus de 1,4 milliard de terminaux seraient vulnérables à cette attaque, soit presque 80 % du parc total. Même la dernière version développeur Android Nougat n'y échappe pas. Pas la peine de paniquer pour autant: cette vulnérabilité – très technique – reste quand même assez difficile à exploiter. Elle se prête plutôt pour des attaques ciblées, pas un piratage de masse.

La bonne nouvelle, c'est qu'un patch a d'ores et déjà été réalisé. Reste à savoir quand est-ce qu'il sera diffusé. Dans l'écosystème Android, cela peut prendre un certain temps. En attendant, Lookout conseille de ne surfer que sur les sites chiffrés en HTTPS, pour éviter les attaques de phishing.