Deux nouvelles failles découvertes dans Android pourraient malmener téléphones et tablettes via la lecture de Mp3 et Mp4 modifiés.

La société Zimperium mobile Threat Protection avait découvert, en avril 2015, un problème de sécurité dans la bibliothèque Stagefright sous Android. Joshua J. Drake, responsable des recherches a poursuivi son étude sur le traitement des médias par Android. Son enquête sur les attaques à distance l’a conduit à une nouvelle découverte.

Stagefright 2.0 est un ensemble de deux vulnérabilités qui se manifestent lors du traitement de fichiers MP3, ou de fichier vidéo MP4. La première vulnérabilité impacte presque chaque appareil Android depuis la version 1.0 sortie en 2008. Des méthodes pour déclencher la 1ére vulnérabilité avaient été découvertes pour Android version 5.0 en exploitant la seconde faille.

Google a notifié la faille CVE-2015-6602 et a indiqué qu’elle serait corrigée la semaine prochaine. « Nous prévoyons de partager des informations pour cette deuxième vulnérabilité dès que possible » souligne Zimperium.

La faille touche le traitement des fichiers MP3 et/ou MP4 spécialement conçus par un pirate, pouvant entraîner l’exécution d’un code arbitraire, comme le téléchargement d’un logiciel espion…