C’est une découverte bien gênante pour Google et Meta. Jose Rodriguez, chercheur en sécurité, a publié la démonstration d’un bug de sécurité touchant Android 17. Sans taper le moindre code, schéma, ni passer par le lecteur d’empreinte, il a réussi à accéder à la photothèque.
Une faille de sécurité béante
Pour faire cette manipulation, pas besoin d’être un pirate aguerri. Il suffit d’avoir le téléphone entre les mains et de passer un appel vidéo WhatsApp vers l’appareil cible. Depuis l’interface d’appel qui apparaît directement sur l’écran de verrouillage, il devient alors possible d’ouvrir le sélecteur de médias du téléphone. Les images enregistrées s’affichent alors sans que le système demande de code PIN ou d’authentification biométrique.
On ne connaît pas encore l’origine du problème, mais l’hypothèse la plus probable pointe vers une mauvaise interaction entre la fonction Android autorisant l’affichage des appels entrants et le composant système gérant la sélection de médias. Lancé depuis cette interface prioritaire, le sélecteur de photos ouvrirait l’accès à la galerie sans exiger aucune vérification de la part de l’utilisateur.
WhatsApp et les autorisations système dans le collimateur
Certaines personnes pointent du doigt l’application de Meta, qui demande des autorisations étendues comme « Toujours autoriser » pour accéder aux images et vidéos du système. Une fois ces accès accordés et l’application autorisée à passer par-dessus l’écran de verrouillage, elle disposerait donc d’une liberté totale.
À lire : Android : une faille critique de Gemini permet d’envoyer des messages sans déverrouiller l’écran
Cette faille nécessite d’avoir un accès physique à l’appareil, aucun piratage à distance n’est donc possible en utilisant cette méthode. Il n’en reste pas moins qu’un proche ou une personne malintentionnée peut consulter votre photothèque qui est censée être sécurisée derrière le système de verrouillage. La découverte ayant été transmise à Google et Meta, un correctif devrait être déployé prochainement pour colmater la brèche.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
Source : Jose Rodriguez
