Google a mis à jour mercredi son bulletin de sécurité Android de mai 2021 pour divulguer que quatre des vulnérabilités de sécurité corrigées plus tôt ce mois-ci par Arm et Qualcomm pourraient avoir été exploitées dans la nature comme des jours zéro.

«Il y a des indications que CVE-2021-1905, CVE-2021-1906, CVE-2021-28663 et CVE-2021-28664 pourraient faire l’objet d’une exploitation limitée et ciblée,» le géant de la recherche mentionné dans une alerte mise à jour.

L’impact des quatre défauts Graphiques Qualcomm et Pilote GPU Arm Mali modules –

• CVE-2021-1905 (Score CVSS: 8,4) – Une faille d’utilisation après libre dans le composant graphique de Qualcomm en raison d’une mauvaise gestion du mappage mémoire de plusieurs processus simultanément.
• CVE-2021-1906 (Score CVSS: 6,2) – Une faille concernant la gestion inadéquate de la désinscription d’adresse qui pourrait conduire à un nouvel échec d’allocation d’adresse GPU.
• CVE-2021-28663 (Score CVSS: NA) – Une vulnérabilité dans le noyau du GPU Arm Mali qui pourrait permettre à un utilisateur non privilégié d’effectuer des opérations incorrectes sur la mémoire du GPU, conduisant à un scénario d’utilisation après libre qui pourrait être exploité pour obtenir le privilège root ou divulguer des informations .
• CVE-2021-28664 (Score CVSS: NA) – Un utilisateur non privilégié peut obtenir un accès en lecture / écriture à la mémoire en lecture seule, permettant une élévation de privilèges ou une condition de déni de service (DoS) en raison de la corruption de la mémoire.

Une exploitation réussie des faiblesses pourrait donner à un adversaire carte blanche accès à l’appareil ciblé et prendre le contrôle. Cependant, on ne sait pas comment les attaques elles-mêmes ont été menées, les victimes qui ont pu être ciblées ou les acteurs de la menace qui peuvent les abuser.

Le développement marque l’un des rares cas où des bogues zero-day dans Android ont été repérés dans des cyber-offensives du monde réel.

Plus tôt en mars, Google a révélé qu’une vulnérabilité affectant les appareils Android utilisant des chipsets Qualcomm (CVE-2020-11261) était utilisée par des adversaires pour lancer des attaques ciblées. L’autre défaut est CVE-2019-2215, une vulnérabilité dans Liant – Le mécanisme de communication inter-processus d’Android – qui aurait été exploité par le groupe NSO ainsi que Acteur de menace SideWinder pour compromettre l’appareil d’une victime et collecter des informations sur l’utilisateur.