Jusqu’à six jours zéro ont été découverts dans une application appelée Remote Mouse, permettant à un attaquant distant de réaliser une exécution complète du code sans aucune interaction de l’utilisateur.

Les défauts inégalés, nommés collectivement ‘Piege a souris,‘ont été révélés mercredi par le chercheur en sécurité Axel Persinger, qui a déclaré: « Il est clair que cette application est très vulnérable et met les utilisateurs en danger avec de mauvais mécanismes d’authentification, un manque de cryptage et une mauvaise configuration par défaut. »

Remote Mouse est une application de contrôle à distance pour Android et iOS qui transforme les téléphones mobiles et les tablettes en souris, clavier et trackpad sans fil pour ordinateurs, avec prise en charge de la saisie vocale, du réglage du volume de l’ordinateur et de la commutation entre les applications à l’aide d’une souris à distance serveur installé sur la machine. L’application Android à elle seule a été installée plus de 10 millions de fois.

En un mot, les problèmes, qui ont été identifiés en analysant les paquets envoyés de l’application Android à son service Windows, pourraient permettre à un adversaire d’intercepter le mot de passe haché d’un utilisateur, ce qui les rend susceptibles de table arc-en-ciel attaques et même rejouer les commandes envoyées à l’ordinateur.

Voici un bref résumé des six défauts:

• CVE-2021-27569: Maximisez ou réduisez la fenêtre d’un processus en cours d’exécution en envoyant le nom du processus dans un paquet spécialement conçu.
• CVE-2021-27570: Fermez tout processus en cours en envoyant le nom du processus dans un paquet spécialement conçu.
• CVE-2021-27571: Récupérez les applications récemment utilisées et en cours d’exécution, leurs icônes et leurs chemins de fichiers.
• CVE-2021-27572: Un contournement d’authentification via la relecture de paquets, permettant aux utilisateurs distants non authentifiés d’exécuter du code arbitraire via des paquets UDP spécialement conçus, même lorsque des mots de passe sont définis.
• CVE-2021-27573: Exécutez du code arbitraire via des paquets UDP spécialement conçus sans autorisation ni authentification préalable.
• CVE-2021-27574: Effectuez une attaque de la chaîne logistique logicielle en tirant parti de l’utilisation par l’application du protocole HTTP en clair pour vérifier et demander des mises à jour, ce qui aboutit à un scénario où une victime pourrait potentiellement télécharger un binaire malveillant à la place de la mise à jour réelle

Persinger a déclaré avoir signalé les failles à Remote Mouse le 6 février 2021, mais a noté qu’il « n’avait jamais reçu de réponse du fournisseur », le forçant à révéler publiquement les bogues après le délai de divulgation de 90 jours. Nous avons contacté les développeurs de Remote Mouse et nous mettrons à jour l’histoire si nous avons de nouvelles.