Il y a maintenant une nouvelle attaque qui cible les réseaux sans fil et les appareils qui y sont connectés. La simple connexion à un réseau sans fil d'entreprise (qui utilise le protocole EAP pour la sécurité) suffit si vous utilisez une version vulnérable d'Android. Cependant, il est peu probable (ne me citez pas !) qu'ils puissent récupérer quoi que ce soit de particulièrement sensible sur votre appareil Android avec cette méthode. Peut-être votre mot de passe de connexion sans fil.
Vous pouvez utiliser un outil de détection ( plus d'infos ) pour vérifier si vous avez une librairie OpenSSL vulnérable sur votre appareil. Notez que, comme lars.duesing mentionne Il est possible que des applications spécifiques soient liées statiquement à des versions vulnérables différentes de la bibliothèque système.
Selon ce commentaire sur Reddit certaines versions d'Android sont affectés par ce bogue. Pire encore, certains navigateurs, notamment le navigateur intégré et Chrome, l'utilisent éventuellement et sont donc vulnérables.
Android 4.1.1_r1 a mis à jour OpenSSL à la version 1.0.1 : https://Android.googlesource.com/platform/external/openssl.git/+/Android-4.1.1_r1
Android 4.1.2_r1 a désactivé les battements de cœur : https://Android.googlesource.com/platform/external/openssl.git/+/Android-4.1.2_r1
Cela laisse Android 4.1.1 vulnérable ! Une recherche rapide dans mes journaux d'accès révèle que de nombreux appareils fonctionnent encore en 4.1.1.
D'autres sources indiquent que La version 4.1.0 est également vulnérable .
Il semble que le moyen le plus simple de résoudre ce problème soit de mettre à niveau cette version, si possible. Si vous avez de la chance, votre opérateur publiera une nouvelle version - mais je ne compterais pas dessus. Si ce n'est pas le cas, vous devrez peut-être chercher des ROMs personnalisées, éventuellement un downgrade, ou un rootage et un remplacement manuel de la bibliothèque.
Il est fortement recommandé de résoudre ce problème. Ce bogue peut entraîner le vol de données, y compris de noms d'utilisateur et de mots de passe, dans votre navigateur par un serveur malveillant.
