Pictoposte : enfin le fin mot sur la mystérieuse mise à jour de l'application de messagerie de la 3ds ?

Souvenez-vous, en décembre dernier, une mise à jour mystérieuse sur l'application Pictoposte de la Nintendo 3ds avait fait parler d'elle. Mystérieuse à la fois parce que les notes officielles du patch n'indiquaient pas grand-chose, mais  aussi et surtout parce qu'elle concernait un logiciel de messagerie sur la Nintendo 3ds, une console morte et enterrée. Nous nous étions alors demandé pourquoi Nintendo mettait à jour une application que personne ne doit plus utiliser régulièrement sur une console abandonnée. Nous avions alors émis l'hypothèse que cette mise à jour avait surtout vocation de combler une faille dans l'application et il semblerait que notre riffraff national avait encore une fois raison ! En effet, dans le tweet situé en bas de cet article, un utilisateur du nom de OatmealDome nous indique qu'une faille était bel et bien présente dans le logiciel et qu'un autre utilisateur MrNbaYoh aurait été payé par Nintendo en signalant à la firme cette découverte. La faille menaçait apparemment la sécurité de tous les utilisateurs de la console en passant par le Streetpass. Tout est un peu technique et dépasse probablement la grande majorité d'entre nous mais si vous êtes familier du hacking tout est expliqué dans le tweet ci-dessous, en voici une traduction maison : 

[Pictoposte] Vous vous demandez toujours pourquoi  Pictoposte sur 3ds avait été mis à jour le mois dernier ? C'est (sûrement) pour cela. Une faille dans la boîte de dialogue pouvait être exploitée en passant par le Streetpass était compromettante. Cette faille permettait à un hacker d'entrer tous les codes qu'il souhaitait. Bravo à @MrNbaYoh pour la récompense de 1000 dollars

Une chance que cette faille à été trouvée par un hacker aux bonnes intentions. 

[Swapnote]

Wondering why Swapnote for the 3DS was updated last month? This is (likely) why.

A vulnerability in the message parser that could be exploited over StreetPass was fixed. It would allow an attacker to run any code they wanted.

Grats to @MrNbaYoh for the $1k bounty. https://t.co/O1ncHhGlF2

— OatmealDome (@OatmealDome) January 18, 2021