Les smartphones G3, G4 et G5 de LG sont vulnérables à deux failles de sécurité. Exploitées, elles peuvent permettre la modification de données dans le cloud, via un composant servant de porte d’accès à plusieurs services, dont Dropbox.
Les deux failles sont considérées comme critiques et ont été découvertes par la société de sécurité MWR Labs. Elles sont liées au même composant, SmartShare.Cloud. Il sert normalement de portail d’accès vers tout un ensemble de services en ligne, notamment de stockage. Des accès vers Dropbox et Box peuvent par exemple y être configurés.
Un portail d'accès, mais sans gardien
La première vulnérabilité, nommée « Backup Application Path Traversal », est particulièrement dangereuse. Si un utilisateur malveillant se trouve sur le même réseau que la victime, il peut modifier en temps réel un appel vers l’API (Application Programming Interface) de LG et modifier le paramètre URL. Il peut alors cibler des fichiers et dossiers et les rendre partageables, sans autorisation et sans même que l’utilisateur ciblé en soit informé par une quelconque notification.
La seconde faille, nommée « Arbitrary File Retrieval », est exploitable assez facilement. Et ce pour une raison simple : le composant SmartShare.Cloud s’active automatiquement sur un serveur HTTP, qui écoute alors sur l’ensemble des interfaces. Sur une connexion Wi-Fi, le composant estime à cause de la faille qu’il s’agit d’une action locale et ne réclame donc aucune identification. Comme le nom l’indique, elle permet de récupérer des données, encore une fois sans que la victime le sache.
Notez que cette deuxième faille est décrite comme normalement liée au modèle G3 du constructeur. Cependant, les chercheurs sont arrivés à la reproduire sur les G4 et G5. Les trois smartphones sont donc bien touchés par les deux failles.
Un correctif à installer rapidement
Si l’utilisateur dispose au moins de la version 2.4.0 de SmartShare.Cloud, il ne court plus de risque. Si ce n’est pas le cas, il est invité à récupérer la mise à jour aussi rapidement que possible.
On notera que le temps de correction a tout de même été assez long. Les deux failles ont été signalées au début de juillet dernier. Un mois plus tard, le constructeur informe MWR Labs qu’une solution a été trouvée. Mais il faudra attendre octobre pour qu’un patch soit prêt à la diffusion, et décembre pour que le bulletin de sécurité l’aborde. La société de sécurité n’évoque les soucis que maintenant, après l’attente classique d’une période de sûreté, afin que les correctifs soient installés sur une majorité de smartphones.
Dans tous les cas, cette brèche renvoie vers une problématique que nous avons abordé pas plus tard que ce matin avec l'extension Chrome d'Adobe : l'installation par défaut d'applications augmente d'autant le champ de possibilité des failles et donc la surface d'attaque à disposition des pirates.
Commentaires (7)
Cela fait bien longtemps que j’ai viré la rom officiel sur mon lg g3.
" />
En même temps même si leurs gestionnaire était vraiment impec (j’ai jamais réussi à le retrouver ailleurs), leurs lg health impossible à virer et leurs surcouche qui bouffe de la ram pour rien à eu raison du changement de rom.
Mais bon même du coté des roms alternatives je trouve pas vraiment mon bonheur, je commenc vraiment à galérer en terme de ram, je me retrouve de plus en plus souvent à avoir deezer qui coupe lorsque je navigue sous chrome
D’ailleurs en parlant de gestionnaire de clipboard du lg g3, personne n’as un moyens pour le récupérer sous forme d’apk/zip/module xposed ?
J’avoue qu’il me manque un peu, le coup de pouvoir garder plusieurs morceaux de texte et de les locker pour s’en servir plus tard était top !
Ce serait pas mal que les constructeurs se limitent à la construction !
Aujourd’hui, pas moyen d’avoir une ROM constructeur nue (ou du moins vidangeable) :(
Pendant un temps il y avait des “Google Play edition” mais je crois pas que ca perdure ce genre d’initiatives.
Pour une rom vidangeable il y a toujours la possibilité de root, root uninstaller, puis unroot mais c’est pas trivial et certaines choses sont trop ancrées dans le système.
Sur un lg g4 fraichement revenu de sav suite à la panne du bootloop, en android 6,SmartShare.Cloud est en version 3.30.9. A noter que l’appli n’est pas directement visible dans la liste des applications, j’ai dû utiliser es file explorer–>bibliothèque–>app choisir ‘app système’
La chance, moi le SAV europe me l’a refusé car visiblement c’était un modèle Asiatique (acheté au Royaume Uni pourtant - mais pas sur le site officiel il est vrai), du coup LG m’a dit de contacter LG taiwan, qui dans un anglais très approximatif m’a en gros dis que ça serait mieux si j’avais un ami à Taiwan pour faire marcher la garantie
" /> 
" /> (un vrai G5 bien Européen pour pas me faire avoir deux fois 
" />)
Bref, j’ai flashé le bout de code qui désactive le Big core sur le cpu, histoire de pouvoir récupérer les données, puis j’ai switché sur un G5
Pour revenir au sujet, mon G5 est à jour (patch sécu de décembre sur Android 7), j’espère que c’est suffisant ! (Impossible de trouver l’appli “Smartshare.cloud” pour voir la version)
D’après la boutique tier qui a un accord avec LG et qui prend le sav en charge, ce qui compte en Europe, c’est d’avoir une facture avec imei. Si la facture mentionne bien ton adresse et ton nom, je vois pas pourquoi ça bloque.
Pour trouver l’appli, tu as suivi ma manipulation ?
Ben si: Motorola (en ce moment le x force est en promo chez Darty d’ailleurs) ;)