Les Google Pixel affectés par une faille permettant d’annuler des retouches faites avec l’outil de screenshot

Google corrige une vulnérabilité critique de son outil d'édition de screenshot. Depuis cinq ans, il était possible d'annuler des éditions faites sur des images

Lorsque Google a commencé à déployer sa mise à jour de sécurité de mars il y a quelques jours, la firme de Mountain View corrigeait une vulnérabilité « élevée » impliquant l’outil de screenshot Markup des Google Pixel. Ce week-end, Simon Aarons et David Buchanan, les ingénieurs qui ont découvert la faille en question, identifiée sous la nomenclature CVE-2023-21036, partageaient davantage de détails et révélaient que les utilisateurs de Pixel couraient toujours le risque de voir leurs anciennes images être compromises à cause de la nature de cet oubli par Google.

Google corrige une vulnérabilité critique de son outil d’édition de screenshot

Pour résumer la chose, cette faille « aCropalypse » permettait à une personne malintentionnée de prendre une capture d’écran PNG rognée dans Markup et d’annuler plusieurs retouches apportées dans l’image. Il est facile d’imaginer des scenarii dans lesquels un hacker pourrait abuser de cette possibilité. Par exemple, si un possesseur de Pixel a utilisé Markup pour dissimuler des détails personnels sur une capture d’écran, quelqu’un pourrait exploiter cette faille pour révéler ces informations. Toute la procédure technique est détaillée sur le blog de David Buchanan.

Selon ce dernier, cette faille existe depuis environ cinq ans, coïncidant avec la sortie de Markup aux côtés de Android 9 Pie en 2018. Et c’est précisément là que se situe le problème. Bien que le patch de sécurité de mars empêche les futures images passées par Markup d’être compromises de cette manière, certains screenshots que les utilisateurs de Pixel pourraient avoir partagés par le passé sont encore à risque.

Depuis cinq ans, il était possible d’annuler des éditions faites sur des images

Il est difficile d’imaginer à quel point ces utilisateurs devraient s’inquiéter de cette faille. Selon une page d’aide qui sera bientôt mise en ligne que Simon Aarons et David Buchanan ont partagé à 9to5Google et The Verge, certains sites, y compris Twitter, traitent les images de telle manière que personne ne pourrait exploiter ladite faille pour venir annuler une ou plusieurs éditions effectuées sur une capture d’écran ou une photo. Les utilisateurs d’autres plateformes, par contre, ont moins de chance. Simon Aarons et David Buchanan nomment ainsi, par exemple, Discord, précisant que le service n’a pas corrigé cette faille avant sa mise à jour du 17 janvier dernier. À l’heure actuelle, nul ne sait si des images partagées sur d’autres applications de messagerie et de réseau social sont vulnérables.

La mise à jour de sécurité de mars est actuellement disponible pour les Pixel 4a, 5a, 7 et 7 Pro, ce qui signifie que Markup peut toujours générer des images vulnérables sur certains Google Pixel. Difficile de savoir si la firme de Mountain View proposera un correctif pour les autres appareils Pixel. Si vous avec un Pixel qui n’a pas la mise à jour, évitez d’utiliser Markup pour partager des images contenant des données sensibles.

Introducing acropalypse: a serious privacy vulnerability in the Google Pixel's inbuilt screenshot editing tool, Markup, enabling partial recovery of the original, unedited image data of a cropped and/or redacted screenshot. Huge thanks to @David3141593 for his help throughout! pic.twitter.com/BXNQomnHbr

— Simon Aarons (@ItsSimonTime) March 17, 2023