Google Pixel : malgré un correctif, il est encore dangereux d’envoyer certaines captures d’écran

La semaine dernière, le laboratoire de sécurité Project Zero de Google alertait sur différentes failles de sécurités sur les smartphones Android. Une information diffusée après le déploiement d’une mise à jour de sécurité sur les Pixel. Pourtant, certains spécialistes alertent sur le fait que l’une d’entre elles n’a pas été totalement corrigée.

Les anciennes captures d’écran sur les Pixel toujours modifiables (mais pas seulement par vous)

Comme le rapporte Engadget, ce sont les ingénieurs Simon Aarons et David Buchanan qui alertent sur la faille « aCropalypse » qui ne serait pas entièrement corrigée. Avec une capture d’écran au format PNG recadrée ou modifiée dans Markup, on pouvait annuler certaines des modifications effectuées. Cela comprend le rognage, mais aussi le fait de cacher un élément, avec un rectangle noir par exemple, juché sur un élément privé (code, adresse, etc.).

David Buchanan a détaillé la faille d’un point de vue technique sur son blog, mais a aussi donné un cas pratique de piratage (sur l’une de ses propres captures d’écran). Il raconte : « Le cas le plus grave est celui où j’ai posté une capture d’écran recadrée d’un courriel de confirmation de commande eBay, montrant le produit que je venais d’acheter. Grâce à l’exploitation du bug, j’ai pu décadrer cette capture d’écran, révélant ainsi mon adresse postale complète. » Autre « cas pratique » dévoilé par Simon Aarons : une capture d’écran d’une carte bleue envoyée par Discord avec les codes cachés peut permettre d’enlever les traits cachant ces derniers.

Cette faille daterait de la sortie de Markup en 2018, qui coïncide avec la sortie d’Android 9 Pie. Grâce à un correctif de sécurité apporté par Google ce mois-ci, les nouvelles captures d’écran ne sont pas concernées. Mais ce n’est pas le cas de celles réalisées avant ce patch. Il est donc recommandé de faire attention aux captures d’écran que vous partagez ayant été prises auparavant. Attention toutefois, cela peut dépendre des canaux sur lesquels vous publiez ces images. Par exemple, certains sites comme Twitter « traitent les images de telle manière que quelqu’un ne pourrait pas exploiter la vulnérabilité pour éditer à l’envers une capture d’écran ou une image », écrit Engadget. Pour le moment, Google n’a pas commenté ces révélations.

Quels sont les smartphones Pixel sont concernés ?

La faille a été détectée sur ces smartphones :

• Pixel 3
• Pixel 3 XL
• Pixel 3a
• Pixel 3a XL
• Pixel 4
• Pixel 4 XL
• Pixel 4a
• Pixel 5
• Pixel 5a
• Pixel 6
• Pixel 6 Pro
• Pixel 6a
• Pixel 7
• Pixel 7 Pro

Pour le moment, le correctif de sécurité de mars déployé par Google n’est disponible que sur les Pixel 4a, 5a, 7 et 7 Pro, ce qui signifie que les autres smartphones de la marque utilisant Markup peuvent encore créer des captures d’écran vulnérables. Par ailleurs, Google n’a pas donné de calendrier pour les autres modèles. Quant à Simon Aarons et David Buchanan, ils ont mis en ligne le site acropalypse.app, qui permet de tester ses captures d’écran selon son modèle de Pixel.