Vous vous souvenez de l’échec de l’iOS qui permettait à n’importe qui de passer des appels et d’accéder au carnet de contacts sur un iPhone protégé par un mot de passe ? Ainsi, quelque chose de similaire se produit également sur Galaxy S III, mais c’est encore pire : même s’il est verrouillé, vous pouvez avoir un accès illimité à l’appareil, en étant capable d’exécuter des applications et d’accéder à des données personnelles. Il suffit d’appuyer sur une séquence de boutons (et d’être patient).
La vulnérabilité a été publiée sur la liste de diffusion Full Disclosure par le participant Sean McMillian. Il dit avoir réussi à reproduire l’échec sur trois appareils différents, mais qu’il peut être difficile de trouver le bon moment : on peut y accéder en quelques tentatives ou rester en essayant plus de 20 fois. Les étapes sont les suivantes :
Sur l’écran de verrouillage, appuyez sur Appel d’urgence ;
Touchez les contacts d’urgence ;
Appuyez une fois sur le bouton “Home” ;
Une fois que vous avez appuyé sur le bouton “Home”, appuyez rapidement sur le bouton “Power” ;
Si tout s’est bien passé, l’écran d’accueil de Galaxy S III apparaîtra dès que vous appuierez à nouveau sur le bouton d’alimentation.
McMillian a testé la faille dans un Galaxy S III avec Android 4.1.2, la dernière version publiée par Samsung jusqu’à présent. Les gens du ZDNet ont pu reproduire la faute et dire qu’après avoir exécuté la procédure, le bug a persisté : même en éteignant et en allumant l’écran, le Galaxy S III ne demandait plus le mot de passe ? c’est comme si vous aviez désactivé l’écran de verrouillage. Si cela se produit, la solution consiste à redémarrer l’appareil.
Le problème semble être lié à une modification de Samsung. Le Galaxy Nexus avec Android 4.2.1, par exemple, n’a pas le bouton des contacts d’urgence, décrit à l’étape 2. L’Engadget a testé l’échec dans un Galaxy S III obsolète avec Android 4.0.4, et n’a pas réussi.
Samsung a déclaré qu’elle publierait une correction dès que possible.
