Google Project Zero, un groupe d'analystes de sécurité employés par Google LLC pour trouver des vulnérabilités, prévient que les fabricants de téléphones Android n'ont pas fourni de correctifs pour plusieurs vulnérabilités découvertes plus tôt cette année au niveau de leur puce.

Des millions de smartphones sont actuellement vulnérables à plusieurs failles de sécurité. Un rapport publié par l'équipe Project Zero de Google met en évidence le “patch gap” qui affecte la chaîne d'approvisionnement d'Android, car il faut généralement plusieurs mois pour que les mises à jour de sécurité du firmware parviennent aux appareils concernés.

Un ensemble de cinq vulnérabilités exploitables dans le pilote du GPU Mali d'ARM, que l’on retrouve dans plusieurs processeurs différents, n'est toujours pas corrigé plusieurs mois après que le fabricant de puces les a corrigées, laissant potentiellement des millions d'appareils Android exposés à des attaques.

Lire également – Samsung Galaxy : plusieurs failles zéro-day ont permis d’espionner les utilisateurs !

Les smartphones avec un GPU Mali sont vulnérables

Les cinq vulnérabilités comprennent une qui entraîne une corruption de la mémoire du noyau, une autre qui peut conduire à la divulgation d'adresses physiques et trois qui peuvent conduire à une condition d'utilisation d'une page physique « use-after-free ». Pour être plus précis, les cinq vulnérabilités permettent à un attaquant de continuer à lire et à écrire des pages physiques après qu'elles ont été retournées au système.

Les failles ont depuis été corrigées par ARM, mais les fabricants de smartphones doivent encore appliquer ces correctifs sur leurs terminaux. Contrairement à Apple, qui est le seul créateur du matériel et des logiciels de l'écosystème mobile de l'iPhone, la multiplication des fabricants de smartphones rend plus longue la correction de failles sur les puces. Bien qu’ARM fournisse rapidement tous les éléments pour combler la faille, les constructeurs n'ont pas encore appliqué le correctif à leurs appareils, mais cela devrait bientôt changer.

Il semblerait que les failles affectent les pilotes de GPU Mali d'ARM sous les noms de code Valhall, Bifrost, Midgard. La longue liste des appareils concernés comprennent des dizaines de smartphones, notamment le Pixel 7, le RealMe GT, le Xiaomi 12 Pro, le OnePlus 10R, le Samsung Galaxy S10, le Huawei P40 Pro et beaucoup d’autres.