Molly (fork Signal) : vulnérable depuis 3 mois
Original : Molly (Signal fork) has not been updated since 3 months and is vulnerable
Pourquoi c'est important
Les apps de messagerie chiffrée non patchées exposent des données sensibles d'utilisateurs.
Molly, un fork Android de Signal, n'a pas été mis à jour depuis le 31 juillet 2024 (v8.19.2-4). Des failles corrigées dans Signal 8.27 en octobre restent non patchées dans Molly.
Molly, fork populaire de Signal pour Android, stagne à la version v8.19.2-4 publiée le 31 juillet 2024. Depuis, Signal a publié plusieurs mises à jour, dont la 8.27 qui corrige une vulnérabilité divulguée en octobre. Molly reste exposée à cette faille.
L'alerte circule sur PieFed et Lemmy, où des utilisateurs recommandent de revenir à Signal officiel et de désinstaller Molly en attendant une reprise des mises à jour — si elle a lieu.
Molly était prisé pour deux raisons principales : l'absence de dépendance aux services Google (version « dégooglelisée ») et le support UnifiedPush pour les notifications sans Google Play Services. Des alternatives existent cependant : Signal officiel fonctionne avec MicroG sur GrapheneOS, et l'APK officiel est disponible directement sur signal.org/android/apk/, avec une mise à jour automatisable via Obtainium.
Le retard soulève aussi la question plus large de la fiabilité des forks sur F-Droid : un développeur Android présent dans le fil note que le processus de publication sur F-Droid est « extrêmement frustrant », au point que son propre app est restée trois mois sans mise à jour sur la plateforme.