Android : la faille « Message of Death » peut planter un téléphone

Un chercheur en sécurité a révélé une nouvelle faille dans Android, surnommée « Message of Death » (« message de la mort »). Un message malveillant suffit à mettre un téléphone hors service à distance, sans que l'utilisateur ait à l'ouvrir ni à cliquer sur un lien.

La vulnérabilité exploite la façon dont Android traite un type précis de message. Elle peut interrompre les services d'appel, couper les communications en cours et, dans certains cas, plonger l'appareil dans une boucle de redémarrages.

Le mécanisme de l'attaque

Le problème concerne les messages WAP Push, que le système d'exploitation traite automatiquement et qui n'apparaissent normalement pas dans la boîte de réception des SMS. Selon le chercheur, un message volontairement mal formé peut provoquer un dysfonctionnement dans le système de télécommunications d'Android.

Plus inquiétant encore, le plantage peut survenir dès l'arrivée du message sur l'appareil. Si le réseau renvoie le message de façon répétée, le téléphone peut rester bloqué dans des redémarrages continus.

Correctif et appareils exposés

Google a préparé un correctif, déjà distribué sur certains appareils sous des versions récentes d'Android via les dernières mises à jour de sécurité. Les anciens téléphones, qui ne reçoivent plus de correctifs réguliers, peuvent rester plus vulnérables.

La faille vise à perturber les services du téléphone. À ce stade, rien ne prouve qu'elle ait servi à dérober des mots de passe ou des données personnelles, et aucune attaque de grande ampleur n'a été observée contre les utilisateurs d'Android.

Il est conseillé de vérifier le niveau de mise à jour de sécurité de son appareil et d'installer la dernière version d'Android disponible. Cet épisode rappelle qu'il ne faut pas repousser les mises à jour : un simple correctif de sécurité peut faire la différence entre un téléphone qui fonctionne normalement et un appareil qui tombe en panne sans prévenir.