Correctifs Stagefright de Google : rien de fiable avant Septembre

Selon la société de sécurité Rapid7, Google doit revoir sa manière dont il corrige Android selon les tentatives de correction de la vulnérabilité Stagefright.

Google a confirmé lui-même à ses utilisateurs Nexus (qui sont les premiers à recevoir les correctifs de sécurité), en leur disant qu'ils ne seront pas entièrement protégés avant Septembre.

La vulnérabilité Stagefright infecte les appareils Android via l'envoi d'un message MMS malveillant. Environ 950 millions d'appareils qui tournent de Android 2.2 à Android 5.1 sont exposés. Depuis la version 4.1, le risque est limité mais une attaque réussie reste possible.

Google a publié 6 mises à jour pour corriger le problème la semaine dernière mais il a été rapidement souligné qu'un des composants était incomplet, donc même les appareils patchés sont toujours vulnérables.
Cette erreur a transformé le processus de sécurité en des mises à jour hebdomadaires.

Tod Beardsley, responsable de la sécurité chez Rapid7 a déclaré : "Même les appareils Nexus, pour lesquels Google a le plus de contrôle, devront attendre Septembre pour recevoir une nouvelle mise à jour. Le délai pour avoir un correctif et le distribuer aux utilisateurs est tout simplement trop lent pour pouvoir être jugé comme sécurisé".
"Si des personnes malhonnêtes décident d'exploiter ces vulnérabilités d'ici là, il semble qu'aucune solution n'existe pour les utilisateurs de tous les jours pour se défendre par eux-mêmes".

De plus, Exodus avait contacté Google quant à leurs correctifs incomplets. Google ne leur a pas répondu et n'a rien fait !

Google n'a pas souhaité commenté les propos de Rapid7 mais a affirmé qu'actuellement, plus de 90% des appareils Android disposent de la technologie ASLR*, qui protège les utilisateurs de ce problème. Ils ont déjà envoyé un correctif à leurs partenaires pour protéger les utilisateurs et les utilisateurs Nexus 4/5/6/7/9/10 et Player auront leur mise à jour de sécurité mensuelle en Septembre. plus d'infos).

*ASLR signifie Address Space Layout Randomisation, une technique de codage sécurisée qui rend le déploiement de failles plus difficile lorsqu'elles sont basées sur une vulnérabilité.

Source

Après la fragmentation, l'épineux problème de la sécurité se pose pour bons nombres d'appareils et même les plus récents. Google, pourquoi attends-tu Septembre pour déployer cette nouvelle mise à jour ???
De mon côté, ma ROM custom est à jour (dernier patch le 15/08) et les applications de détection de Lookout et Zimperium me disent que je ne suis pas vulnérable. Si vous hésitez à flasher une ROM Custom, c'est le moment !