Certaines des applications de rencontres, de voyages et d’appels vidéo populaires sur Google Play Store sont vulnérables à un bogue connu CVE-2020-8913, qui pourrait être exploité par des acteurs menaçants pour y injecter des codes malveillants et voler des informations personnelles ou espionner les utilisateurs, ont découvert des chercheurs de Check Point.
Check Point estime que des centaines de millions de Android les utilisateurs sont toujours exposés à des risques de sécurité importants à cause de cela.
Bien que Google ait corrigé le bogue en avril et l’ait noté 8,8 sur 10 pour sa gravité, de nombreux développeurs d’applications utilisent toujours la version obsolète de Google Core Library (GPC), où le bogue a été trouvé. GPC permet aux développeurs de déployer des mises à jour intégrées à l’application et de nouveaux modules de fonctionnalités dans leurs applications.
En septembre, des chercheurs de Check Point ont testé au hasard certaines des applications populaires du Google Play Store et ont constaté que 13% d’entre elles utilisaient GPC et 8% d’entre elles utilisaient toujours la version vulnérable.
Bumble, OkCupid, Grindr, Microsoft Edge, Cisco Teams, Viber et Booking sont quelques-unes des applications populaires, qui ont été signalées par Check Point.
Check Point avait informé les développeurs de l’application de la vulnérabilité avant de rendre leurs découvertes publiques. Viber et Booking ont été parmi les premiers à mettre à jour la version corrigée, affirment-ils.
« Nous estimons que des centaines de millions d’utilisateurs d’Android sont menacés de sécurité. Bien que Google ait mis en place un correctif, de nombreuses applications utilisent toujours des bibliothèques Play Core obsolètes », a déclaré Check Point, dans un communiqué, Aviran Hazum, directeur de Mobile Research.
Hazum prévient que la vulnérabilité est très dangereuse et qu’une application malveillante peut l’exploiter pour voler des codes d’authentification à deux facteurs ou injecter du code dans des applications bancaires pour voler des informations d’identification. Ils pourraient également injecter des codes malveillants dans les applications de médias sociaux et espionner les utilisateurs ou dans les applications de messagerie pour intercepter les messages.
Bien que Google Play Store soit considéré comme l’un des magasins d’applications les plus fiables de l’écosystème Android, il est loin d’être entièrement sécurisé. Des bogues et des applications contenant des malwares cachés ont été fréquemment détectés et signalés par des chercheurs en sécurité de Google et de diverses sociétés de cybersécurité.
.
