WhatsApp expose la galerie photo des smartphones Android lors d’appels vidéo entrants
WhatsApp permet d’accéder à la galerie photo complète d’un smartphone Android verrouillé, même avec les derniers correctifs installés. Un appel vidéo entrant sur l’application suffit à contourner les mécanismes de sécurité. Cette vulnérabilité a été mise en lumière par le chercheur en sécurité Jose Rodriguez, qui a partagé une vidéo sur X, déclarant : « Sachez que vos photos peuvent être consultées sans déverrouiller votre téléphone lorsque vous recevez un appel vidéo WhatsApp sur Android. C’est en pleine vue. Ce n’est pas caché, ce n’est pas une fonction secrète. Ce n’est pas un hack. »
Le problème a été signalé à Meta et à Google, mais, à ce jour, aucun correctif n’a été publié. Pour exploiter cette faille, il est nécessaire de :
- Avoir le téléphone en main.
- Recevoir un appel vidéo WhatsApp sur ce téléphone.
Bien que cette vulnérabilité ne puisse pas être exploitée par un cybercriminel à distance, elle pose un risque important, surtout en cas de perte ou de vol de l’appareil, rendant l’écran de verrouillage inefficace.
Une simple navigation dans les menus de WhatsApp
Le fonctionnement de cette vulnérabilité repose sur une navigation dans les menus de WhatsApp pendant un appel vidéo. Voici les étapes :
- Décrocher : Il est possible de répondre à un appel vidéo WhatsApp sur un appareil verrouillé sans authentification.
- Ouvrir les effets : L’icône des effets ouvre un panneau avec plusieurs onglets, dont les arrière-plans.
- Passer par Meta AI : Le bouton « Créer avec Meta AI » permet de générer ou modifier des images.
- Modifier une photo : L’option d’édition ouvre le sélecteur de médias du système, donnant accès à l’intégralité de la galerie Android.
Des tests ont été effectués sur différents appareils. La technique a été confirmée sur un Samsung Galaxy S24 sous Android 16 et également sous Android 17. En revanche, sur iPhone, les appels WhatsApp passent par l’interface d’appel native d’Apple, rendant cette vulnérabilité inapplicable.
Source : IT-Connect.
