Les chercheurs de Google Project Zero ont signalé qu’un fournisseur de solutions de surveillance utilisait trois exploits Zero Day pour téléphones Samsung.

Google Project Zero a révélé trois vulnérabilités des téléphones Samsung, suivies comme CVE-2021-25337, CVE-2021-25369 et CVE-2021-25370, qui ont été exploitées par une société de surveillance.

Les trois enjeux sont :

• CVE-2021-25337: Un contrôle d’accès incorrect dans le service de presse-papiers des appareils mobiles Samsung avant la version 1 de SMR de mars 2021 permet à des applications non fiables de lire ou d’écrire certains fichiers locaux.
• CVE-2021-25369: Une vulnérabilité de contrôle d’accès inapproprié dans le fichier sec_log avant SMR MAR-2021 Release 1 expose des informations sensibles du noyau à l’espace utilisateur.
• CVE-2021-25370: Une implémentation incorrecte gérant le descripteur de fichier dans le pilote dpu avant SMR Mar-2021 Release 1 entraîne une corruption de la mémoire entraînant une panique du noyau.

Les chercheurs ont souligné que la firme de surveillance incluait dans son spyware les exploits pour ces trois vulnérabilités qui étaient zero-day au moment de leur exploitation.

« Cette chaîne d’exploits dans la nature est un excellent exemple de surfaces d’attaque et de « formes » différentes de celles de nombreux exploits Android que nous avons vus dans le passé. Les trois vulnérabilités de cette chaîne se trouvaient dans les composants personnalisés du fabricant plutôt que dans la plate-forme AOSP ou le noyau Linux. lit le consultatif publié par Google Project Zero. « Il est également intéressant de noter que 2 des 3 vulnérabilités étaient des vulnérabilités de logique et de conception plutôt que la sécurité de la mémoire. »

Le fournisseur de surveillance a enchaîné les vulnérabilités ci-dessus pour compromettre les téléphones Samsung.

L’équipe TAG n’a obtenu qu’une chaîne d’exploitation partielle pour les téléphones Samsung qui étaient probablement en phase de test. Les experts ont révélé que l’échantillon date de fin 2020.

« La chaîne méritait une analyse plus approfondie car il s’agit d’une chaîne de 3 vulnérabilités où les 3 vulnérabilités se trouvent dans les composants personnalisés de Samsung, y compris une vulnérabilité dans un composant Java. » signalé l’avis.

Les experts ont expliqué que l’échantillon d’exploit cible les téléphones Samsung exécutant le noyau 4.14.113 avec le SOC Exynos. Ce SOC spécifique est utilisé par les téléphones vendus en Europe et en Afrique. L’exploit s’appuie à la fois sur le pilote Mali GPU et sur le pilote DPU qui sont spécifiques aux téléphones Exynos Samsung.

Les téléphones Samsung qui exécutaient le noyau 4.14.113 fin 2020 incluent les S10, A50 et A51.

Google a signalé les vulnérabilités à Samsung immédiatement après leur découverte à la fin des années 2020, et le fournisseur adressé eux en mars 2021.

Google n’a pas révélé le nom du fournisseur de surveillance, il a seulement mis en évidence des similitudes avec d’autres campagnes ciblant les utilisateurs d’Android en Italie et au Kazakhstan.

Project Zero a noté que les avis publiés par Samsung pour ces problèmes ne mentionnent pas leur exploitation dans la nature.

«L’étiquetage lorsque les vulnérabilités sont connues pour être exploitées dans la nature est important à la fois pour les utilisateurs ciblés et pour l’industrie de la sécurité. Lorsque les jours 0 dans la nature ne sont pas divulgués de manière transparente, nous ne sommes pas en mesure d’utiliser ces informations pour protéger davantage les utilisateurs, en utilisant l’analyse des correctifs et l’analyse des variantes, pour mieux comprendre ce que les attaquants savent déjà. conclut le rapport.

« L’analyse de cette chaîne d’exploitation nous a fourni de nouvelles informations importantes sur la façon dont les attaquants ciblent les appareils Android. Cela met en évidence la nécessité de poursuivre les recherches sur les composants spécifiques aux fabricants. »

Suis moi sur Twitter: @affairesdesecurite et Facebook

Pierluigi Paganini

(Affaires de sécurité – piratage, zero-day)

Partager sur