Une faille de sécurité a été dévoilée capable de faire planter le service d’appels des téléphones Android sans que l’utilisateur ait ouvert le message. Les informations de correction fournies par le chercheur indiquent que des modifications ont été apportées au code source d’Android pour régler le problème. Cette menace se situe à un niveau différent des méthodes habituelles qui bloquent les messages indésirables. Un message spécialement préparé peut influencer le service téléphonique sans nécessiter de toucher un lien affiché à l’écran.
Le problème examiné par Mark Blaszczyk survient lors du traitement des messages WAP Push. Ce type de messages est géré par les composants téléphoniques du système. Des données erronées peuvent provoquer le crash du service com.android.phone. Résultat : la capacité du téléphone à passer des appels et à recevoir des appels via le réseau mobile peut être perturbée.
Les effets ne se limitent pas aux appels ordinaires. La défaillance du service téléphonique peut aussi présenter un risque pour les appels d’urgence. Par ailleurs, l’envoi répétée de messages peut, lors des essais, mettre l’appareil dans une boucle de redémarrage. Cela ne signifie pas que chaque téléphone Android réagira de la même manière ni que le même processus de récupération fonctionnera sur tous les appareils.
Les tests relatifs à ce problème ont été réalisés sur des appareils Pixel et Samsung. Le code affecté remonterait jusqu’à l’époque d’Android 12. Toutefois, il ne suffit pas de se baser uniquement sur le nom de la version d’Android pour déterminer si un téléphone est protégé. Le fabricant doit intégrer le correctif dans son logiciel et déployer la mise à jour sur l’appareil.
État de protection dépend de la mise à jour de sécurité du téléphone
Les modifications apportées dans le dépôt open source d’Android visent à capturer les erreurs susceptibles de survenir lors du traitement des messages. Le chercheur confirme dans une réponse GitHub datée du 29 octobre qu’un correctif est disponible dans le dépôt principal. En raison de divergences liées à l’identifiant public et à leur association dans les bulletins de sécurité, nous n’attribuons pas ici un seul numéro CVE comme conclusion.
Alors, sur quoi faut-il vérifier pour votre téléphone ? Rendez-vous dans les paramètres, puis dans les mises à jour système et sécurité. Installer la mise à jour fournie par le constructeur est une mesure plus directe qu’un simple renouvellement de l’application de messagerie. Car le problème concerne des composants téléphoniques qui opèrent au-delà de l’application de messagerie.
D’un autre côté, cette annonce ne garantit pas que le correctif est déjà déployé sur tous les téléphones. Le calendrier des mises à jour varie selon le modèle, le fabricant et la région. Il ne faut pas supposer que restaurer les paramètres d’usine résout forcément un appareil qui cesse d’appeler ou qui se redémarre en boucle. Le fait que l’opérateur réémette le même message peut aussi influencer le processus de récupération. Dans un tel cas, il est préférable de contacter l’assistance technique du fabricant et de suivre les consignes adaptées au modèle de l’appareil.
