Microsoft a récemment partagé ses conclusions avec les fournisseurs d’applications Android concernées sur le Play Store de Google. Parmi eux se trouvaient le produit File Manager de Xiaomi Inc., qui compte plus d’un milliard d’installations, et WPS Office avec quelque 500 millions de téléchargements.
Microsoft a déclaré que les fournisseurs des deux produits avaient déjà résolu le problème. Cependant, l’entreprise pense qu’il existe d’autres applications qui pourraient être exploitées et compromises en raison de la même faiblesse de sécurité. « Nous prévoyons que le modèle de vulnérabilité pourrait être trouvé dans d’autres applications. Nous partageons cette recherche afin que les développeurs et les éditeurs puissent vérifier si leurs applications présentent des problèmes similaires, les corriger si nécessaire et éviter d’introduire de telles vulnérabilités dans de nouvelles applications ou versions », a déclaré l’équipe de recherche sur les menaces de Microsoft.
Le problème découvert par Microsoft affecte les applications Android qui partagent des fichiers avec d’autres applications. Pour faciliter le partage de manière sécurisée, Android implémente une fonction dite de « fournisseur de contenu » qui agit essentiellement comme une interface pour gérer et exposer les données d’une application à d’autres applications installées sur un appareil, a déclaré Microsoft. Une application qui doit partager ses fichiers (ou un fournisseur de fichiers dans le langage Android) déclare les chemins spécifiques que d’autres applications peuvent utiliser pour accéder aux données. Les fournisseurs de fichiers incluent également une fonction d’identification que d’autres applications peuvent utiliser comme adresse pour les trouver sur un système.
Les cibles de partage de fichiers typiques incluent les clients de messagerie, les applications de messagerie, les applications réseau, les navigateurs et les éditeurs de fichiers. Lorsqu’une cible de partage reçoit un nom de fichier malveillant, elle utilise le nom de fichier pour initialiser le fichier et déclencher un processus qui pourrait aboutir à la compromission de l’application, a déclaré Microsoft.
