Des chercheurs en sécurité de chez Checkpoint ont découvert une faille de sécurité qui pourrait toucher potentiellement 900 millions d’appareils sous Android.
Une équipe de chercheurs en sécurité de chez Check Point a détaillé une nouvelle série de vulnérabilités Android qui pourraient toucher 900 millions d’appareils sous l’OS de Google. Plus précisément, l’ensemble des quatre vulnérabilités – surnommé « QuadRooter » par Check Point – se trouve au sein de puces Qualcomm, ce qui devient un problème majeur quand on sait que les puces Qualcomm sont utilisées dans 65% des appareils Android.
Ces vulnérabilités peuvent potentiellement permettre à quelqu’un de prendre le contrôle d’un dispositif. Les quatre vulnérabilités au sein de QuadRooter permettent de récupérer les droits root. De là, les pirates peuvent faire ce qu’ils veulent avec le terminal. Ils peuvent par exemple utiliser à distance l’appareil photo pour prendre des photos ou enregistrer des vidéos, ou bien utiliser un keylogger pour voir ce que vous tapez. Il est donc possible de faire beaucoup de dégâts en exploitant l’une de ces vulnérabilités.
Check Point note que les puces Qualcomm touchées sont actuellement utilisées sur un grand nombre de téléphones Android récents, et énumère quelques-uns des appareils les plus populaires du marché potentiellement en danger :
– BlackBerry Priv
– Blackphone 1 et Blackphone 2
– Google Nexus 5X, Nexus 6 et Nexus 6P
– HTC One, HTC M9 et HTC 10
– LG G4, LG G5, et LG V10
– Le nouveau Moto X de Motorola
– OnePlus One, OnePlus 2 et OnePlus 3
– Samsung Galaxy S7 et Samsung S7 Edge
– Sony Xperia Z Ultra
La principale façon par laquelle un attaquant tirerait profit de ces vulnérabilités est par une application malveillante. Le problème est que l’application ne nécessiterait pas de permissions spéciales pour exploiter les vulnérabilités. De cette façon, les utilisateurs Android pourraient être attaqués, même si à première vue, rien ne semble suspect.
Heureusement, ZDNet souligne que Qualcomm a envoyé des pilotes corrigés aux fabricants, et Google a déjà inclus des correctifs pour trois des quatre vulnérabilités dans ses mises à jour mensuelles de sécurité. La quatrième reste non corrigée pour le moment, et un correctif pour celle-ci devrait être inclus dans la mise à jour de sécurité prévue pour le mois prochain.
Cependant, Check Point dit que cela met en évidence l’un des principaux problèmes de sécurité d’Android. Étant donné que les pilotes vulnérables sont installés sur un dispositif lors de sa fabrication, les fabricants d’appareils doivent attendre de recevoir les pilotes corrigés de la part de Qualcomm lui-même avant que ces patchs ne puissent être proposés aux utilisateurs. Ces correctifs de sécurité doivent également recevoir l’approbation des opérateurs avant d’être diffusés, ce qui ralentit le processus. Ajoutez à cela le fait que les fabricants peuvent parfois faire preuve de laxisme quand il s’agit de correctifs et vous obtenez une réponse lente à une menace de sécurité potentiellement grave.
En attendant l’arrivée des correctifs de sécurité finaux, Check Point propose de prendre quelques mesures de base pour limiter les risques. Ceux-ci comprennent le téléchargement de nouveaux correctifs dès qu’ils sont disponibles – car ils comprennent généralement des corrections qui augmentent la sécurité – via un réseau Wi-Fi de confiance, et en évitant les applications qui ont recours au Sideloading sur votre appareil. Les utilisateurs concernés peuvent également télécharger l’app QuadRooter Scanner de Check Point à partir du Google Play pour voir si leur appareil est sujet à ces vulnérabilités.
Mise à jour du 09 août :
Qualcomm nous a informé que le chercheur leur a fait part de ces vulnérabilités entre février et avril de cette année, et que la société a partagé les correctifs nécessaires aux quatre vulnérabilités à ses clients, partenaires et à la communauté open source entre avril et juillet. La société a ajouté qu’elle « continue de travailler de manière proactive à la fois en interne ainsi qu’avec des chercheurs en sécurité pour identifier et traiter les potentielles failles de sécurité ».
