Qualcomm a publié des correctifs pour trois failles critiques identifiées au sein du pilote graphique Adreno. Ces vulnérabilités, déjà exploitées dans des attaques ciblées par des pirates, touchent de nombreuses puces Snapdragon présentes dans les smartphones Android. Elles peuvent permettre de prendre le contrôle à distance d’un appareil.
Qualcomm vient de publier des correctifs de sécurité pour trois vulnérabilités zero day situées dans le pilote d’un processeur graphique Adreno. Ce processeur est présent dans le SoC de dizaines de puces Snapdragon destinées aux appareils Android, dont des smartphones de marques populaires telles que Samsung, Google, Xiaomi et OnePlus. Dans les puces touchées, on trouve à la fois des SoC et des composants dédiés à la connexion sans fil (Wi-Fi, Bluetooth, 5G, etc.) ou à l’audio. Des puces consacrées à l’IA, la réalité virtuelle et augmentée sont également affectées.
Deux des trois vulnérabilités permettent à un attaquant d’exécuter des commandes non autorisées, ce qui peut corrompre la mémoire. In fine, le pirate peut prendre le contrôle de l’appareil à distance. La troisième brèche survient lorsque Chrome affiche des graphismes en utilisant les pilotes GPU Adreno. Il arrive que système libère un morceau de mémoire, mais continue de l’utiliser par la suite. Ce dysfonctionnement peut être exploité par un attaquant pour exécuter du code malveillant.
À lire aussi : Google corrige 62 vulnérabilités Android, dont deux failles exploitées dans des cyberattaques
Un trio de failles déjà exploitées
L’entreprise américaine indique que les failles ont été activement exploitées dans le cadre de cyberattaques. Comme l’explique Qualcomm, des chercheurs de Google ont pu déterminer que le trio de vulnérabilités « peut faire l’objet d’une exploitation limitée et ciblée ». Elles sont en effet considérées comme des zero day. Il s’agit d’une vulnérabilité qui est soit rendue publique, soit déjà exploitée par des pirates, avant qu’un correctif officiel ne soit disponible.
Deux failles critiques ont été découvertes par Google en janvier. La troisième a été identifiée quelques semaines plus tard, en mars, et est considérée de haute gravité par les experts. Pour le moment, on ignore dans quelles circonstances les failles ont été utilisées.
Une « forte recommandation »
Pour protéger les utilisateurs, Qualcomm a mis à disposition des constructeurs « des correctifs pour les problèmes affectant le pilote Adreno Graphics Processing Unit (GPU) ». Le groupe a accompagné les correctifs d’une « forte recommandation » à inclure les patchs « sur les appareils concernés dès que possible ». Tout dépend maintenant de la réactivité des constructeurs d’appareils Android.
Quelques mois plus tôt, Qualcomm a déjà corrigé six vulnérabilités de type zero day au sein de ses puces. Celles-ci permettaient notamment de propager le virus espion NoviSpy sur les smartphones Android. Les failles ont surtout été utilisées par la police serbe pour espionner des journalistes ou des activistes.
Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
Source :
Qualcomm