Stagefright, du nom de la bibliothèque qu'elle concerne, est une très grave faille Android, révélée par Joshua Drake lors de la tenue de Black Hat 2015.

Très grave, car elle touche 95% du parc Android - les appareils Android à partir de 2.2 sont vulnérables - et elle permet une élévation de privilèges jusqu'à root.

Stagefright est une bibliothèque utilisée pour la lecture de la plupart des formats multimédias, audio et vidéo. Cette faille peut être exploitées via des contenus malveillants. Le vecteur privilégié est le MMS. En effet, en cas de réception d'un MMS vidéo, Stagefright traite le fichier immédiatement, avant même sa lecture par l'utilisateur, si le chargement automatique des MMS est activé. Désactiver cette fonctionnalité ne règle pas le problème, dans le cas où un de vos contacts infecté vous aurait envoyé, à l'insu de son plein gré, un MMS malveillant que vous liriez en toute confiance.

Google a publié un correctif dans AOSP. Mais outre le fait que les fabricants d'appareils Android doivent le répercuter pour qu'il serve à quelque chose, il apparaît que ce patch est en fait inefficace car incomplet, ainsi que l'a découvert un autre chercheur en sécurité Aaron Portnoy, travaillant pour Exodus Intelligence : "De nombreux soucis supplémentaires ont été découverts depuis que j’ai signalé les bugs dans le traitement du MPEG4. Je pense que nous continuerons à voir des correctifs pour le code de Stagefright dans les mois qui viennent. L’affaire est loin d’être terminée". En l'occurrence, la faille reste exploitable.

La vidéo ci-dessous est une démonstration de l'exploit de cette faille, par l'envoi d'un MMS.