Pourquoi est-ce important: Un ensemble de vulnérabilités affectant les pilotes de noyau pour les GPU Qualcomm et Mali dans des millions de téléphones Android a été exploité dans la nature. Les appareils Google Pixel sont les seuls à être corrigés à ce jour, mais le problème éternel des mises à jour retardées pour d’autres appareils Android demeure.

Plus tôt ce mois-ci, les utilisateurs ont été informés d’une faille de sécurité critique présente dans les puces Qualcomm alimentant des centaines de millions d’appareils Android, comme l’a découvert la société de sécurité Check Point. Cette semaine, Google mise à jour le bulletin de sécurité Android de mai pour refléter le fait que quatre de ces vulnérabilités révélées le 1er mai ont été exploitées dans la nature.

Le rapport initial recensait pas moins de 42 vulnérabilités corrigées dans la mise à jour de sécurité de mai 2021, mais à l’époque, la société ne savait pas que l’une d’entre elles était activement exploitée. De nouvelles données indiquent que quatre d’entre eux peuvent faire l’objet d’une «exploitation limitée et ciblée», ce qui au début semblait un peu vague.

Maddie Stone, chercheuse sur Google Project Zero, a clarifier que ce sont en effet des défauts de 0 jour d’un liste croissante cela a été observé depuis le début de cette année.

Deux des failles affectent les GPU Qualcomm dans des centaines de chipsets, y compris les derniers compatibles 5G comme le Snapdragon 768G et le Snapdragon 888.

Les deux autres vulnérabilités affectent le pilote du noyau pour les GPU Arm Mali (utilisés dans des millions d’appareils Android) et son importance ne peut être sous-estimée, car ils permettent à un attaquant de prendre le contrôle total de votre téléphone.

Asaf Peleg, vice-président de la société de sécurité Zimperium, Raconté Ars Technica que «de l’élévation des privilèges au-delà de ce qui est disponible par défaut à l’exécution de code en dehors du bac à sable existant du processus actuel, l’appareil serait entièrement compromis et aucune donnée ne serait en sécurité».

Les utilisateurs de Google Pixel devraient déjà pouvoir installer un correctif pour atténuer les risques, mais tout le monde devra attendre que Samsung, Motorola, Nokia, LG (qui a retiré sa division de téléphone), OnePlus et d’autres fabricants d’appareils Android publient une mise à jour pour ton téléphone. Peleg pense que ces quatre failles de sécurité ne seraient exploitées que par des acteurs parrainés par l’État cherchant à extraire les informations privées d’individus ou d’organisations de haut niveau.

Dans l’actualité connexe, les chercheurs ont découvert que 23 applications Android exposaient les données sensibles de plus de 100 millions d’utilisateurs. L’aspect le plus inquiétant de cette violation particulière est qu’elle n’était pas le résultat de failles dans le système d’exploitation Android, mais de mauvaises implémentations des applications elles-mêmes et de la manière dont elles gèrent vos données.