Un bug dans l’allocation mémoire du système permet d’exécuter du code arbitraire dans le noyau. Cette faille figurerait d’ores et déjà dans l’arsenal de la société NSO, spécialisée dans l’espionnage de téléphones mobiles.
Des chercheurs en sécurité de Google Project Zero viennent de révéler l’existence d’une faille de sécurité importante (CVE-2019-2215) dans Android permettant de prendre le contrôle total d’un smartphone. Le problème réside dans une fonction du noyau qui gère mal l’allocation de certaines zones de mémoire. En exploitant cette faille, il est possible d’élever les privilèges d’accès d’un processus et d’exécuter du code arbitraire au niveau du noyau.
Une telle attaque « nécessite l’installation d’une application malveillante » sur le téléphone ou « un chaînage avec un exploit supplémentaire », souligne Google dans un fil de discussion. Les terminaux vulnérables sont, entre autres : Pixel 1 et 2, Samsung S7/S8/S9, Huawei P20 , Xiaomi Redmi 5A/Note 5/A1, Oppo A3, Moto Z3 et LG Oreo. Les Pixel 3, en revanche, sont à l’abri. Un patch a été développé et sera diffusé avec la mise à jour du mois d’octobre. Celle-ci devrait arriver dans les prochains jours.
NSO diffuserait son malware directement par le web
Si les détails techniques de cette faille ont été révélés avant la diffusion du correctif, c’est parce qu’elle est d’ores et déjà exploitée de manière active par des pirates. En occurrence, il s’agirait de la société israélienne NSO. Bien connue pour ses logiciels d’espionnage à destination des agences gouvernementales, celle-ci dispose d’une gamme baptisée Pegasus, dédiée au piratage de smartphones. Selon Google, NSO combinerait cette faille avec une autre située au niveau du moteur de rendu de Chrome afin de pouvoir diffuser son malware directement au travers du web.
En attendant la mise à jour d’Android, il est donc conseillé de ne pas installer d’applications douteuses et d’utiliser un autre navigateur. Les chances de se faire pirater sont néanmoins faibles, dans la mesure où il s’agit d’attaques ciblées. Tout dépend ensuite du degré d’exposition de l’utilisateur. Si vous vivez dans un pays autoritaire et que vous êtes un dissident politique, mieux vaut prendre quelques précautions.
Source: Google