De multiples failles de sécurité critiques ont été révélées dans les applications Android préinstallées de Samsung, qui, si elles étaient exploitées avec succès, auraient pu permettre à des adversaires d’accéder aux données personnelles sans le consentement des utilisateurs et de prendre le contrôle des appareils.
« L’impact de ces bogues aurait pu permettre à un attaquant d’accéder et de modifier les contacts, les appels, les SMS/MMS de la victime, d’installer des applications arbitraires avec des droits d’administrateur de l’appareil, ou de lire et d’écrire des fichiers arbitraires au nom d’un utilisateur du système, ce qui pourrait changer la configuration de l’appareil. paramètres », Sergey Toshin, fondateur de la startup de sécurité mobile Oversecured, mentionné dans une analyse publiée jeudi.
Toshin a signalé les défauts à Samsung en février 2021, à la suite de quoi des correctifs ont été émis par le fabricant dans le cadre de ses mises à jour de sécurité mensuelles pour avril et mai. La liste des sept vulnérabilités est la suivante –
- CVE-2021-25356 – contournement de l’authentification tierce dans Managed Provisioning
- CVE-2021-25388 – Vulnérabilité d’installation d’application arbitraire dans Knox Core
- CVE-2021-25390 – Redirection d’intention dans PhotoTable
- CVE-2021-25391 – Redirection d’intention dans le dossier sécurisé
- CVE-2021-25392 – Possibilité d’accéder au fichier de politique de notification de DeX
- CVE-2021-25393 – Possibilité d’accéder en lecture/écriture à des fichiers arbitraires en tant qu’utilisateur système (affecte l’application Paramètres)
- CVE-2021-25397 – Écriture de fichier arbitraire dans TelephonyUI
L’impact de ces failles signifie qu’elles pourraient être exploitées pour installer des applications tierces arbitraires, accorder à l’appareil des privilèges d’administrateur pour supprimer d’autres applications installées ou voler des fichiers sensibles, lire ou écrire des fichiers arbitraires en tant qu’utilisateur système et même exécuter des actions privilégiées.
Dans une démonstration de preuve de concept (PoC), Oversecured a établi qu’il était possible d’exploiter les failles de redirection d’intention dans PhotoTable et Secure Folder pour détourner les autorisations des applications d’accéder à la carte SD et de lire les contacts stockés dans le téléphone. De même, en exploitant CVE-2021-25397 et CVE-2021-25392, un attaquant pourrait écraser le fichier stockant les messages SMS/MMS avec un contenu malveillant et voler des données dans les notifications des utilisateurs.
Il est recommandé aux propriétaires d’appareils Samsung d’appliquer les dernières mises à jour du micrologiciel de l’entreprise pour éviter tout risque de sécurité potentiel.
