Gmail pour Android : un bug permet de se faire passer pour n’importe qui
Mise à jour 18/11/2015 : Google aurait finalement décidé de mettre la main à la pâte et plancherait actuellement sur une correction de ce bug.
Repéré sur l'application Gmail pour Android, ce bug donne l'occasion à celui qui en tirera profit de se faire passer pour n'importe qui. Ce problème a été mis au jour par une spécialiste en sécurité appelée Yan Zhu officiant notamment au M.I.T.
Ce bug repéré par la chercheuse en sécurité Yan Zhu, favorise la pratique du spoofing, c'est à dire un détournement de votre adresse personnelle ce qui en soit peut s'avérer assez problématique pour des raisons de sécurité.
La jeune femme a donc découvert une méthode permettant de modifier son adresse mail, faisant ainsi en sorte que l'expéditeur affiché après envoi apparaisse comme n'importe qui sauf vous. Pour constater de cette faille, il suffirait d'ajouter deux guillemets supplémentaires au début et à la fin d'une adresse e-mail.
filed a gmail android bug that lets me fake sender email address. they said it's not a security issue. ¯\_(ツ)_/¯
— yan⚠ (@bcrypt) 11 Novembre 2015
En se rendant dans les options de l'application mobile Gmail pour Android, Yan Zhu a fait en sorte de modifier son nom d'utilisateur et son adresse e-mail en une paraissant plus officielle et de confiance. Ici, Zhu prends alors Yan puis “”security@google””. Pour le chercheur, la deuxième paire de guillemets permettrait de masquer l'adresse e-mail d'origine de l'expéditeur.
Ce bug a été mis au jour la semaine dernière et malgré les risques représenté compte tenu des institutions officielles pouvant être usurpées, Google ne semble pas considérer le bug comme une menace majeure. Cela s'expliquerait par son nouveau filtre anti-spam intégré à Gmail mais s'il est capable de détecter des adresses e-mails détournées, les e-mails envoyés depuis des adresses générées par ce bug ne sont aucunement détectés par le filtre.
Bien que l'intégrité de notre boîte mail ne soit pas menacée à proprement dit comme elle pouvait l'être avec la faille repérée cet été, cela n'en reste pas moins une information à relayer afin de mettre en garde contre d'éventuels spammers pouvant avoir recours à ce bug.
Il reste étrange que Google ne daigne réagir à la découverte de Yan Zhu, surtout après la faille découverte sur Chrome la semaine dernière. Ce silence ne devrait pas perdurer trop longtemps, la firme de Mountain View est attendue pour quelques explications plus concrètes.