La mise à jour corrige la vulnérabilité de la puce Qualcomm Snapdragon

Qualcomm a publié une mise à jour pour corriger une vulnérabilité de ses puces Snapdragon qui expose environ un tiers des smartphones Android dans le monde. La faille a été découverte par un groupe de chercheurs de la société de sécurité Check Point et divulguée ce jeudi (06/05).

Selon les chercheurs, la vulnérabilité affectait le MSM (Mobile Station Modem), un système de puces qui fournit des ressources pour l'envoi de messages SMS et l'enregistrement en haute définition. Cet ensemble peut être trouvé sur des appareils dotés de puces Snapdragon, de sociétés comme Samsung, Xiaomi, LG, OnePlus et bien d'autres. Histoire de vous donner une idée de l'ampleur de cette vulnérabilité, les processeurs Qualcomm sont présents dans 31% des smartphones de la planète, selon données de Counterpoint Research.

La faille a été installée dans le système via une application qui déployait un code malveillant au sein du MSM. La clé cachée a alors envahi les fonctions vitales du téléphone portable. "Un attaquant utilise cette vulnérabilité pour injecter du code malveillant dans le modem Android, donnant accès à l'historique des appels et des SMS de l'utilisateur de l'appareil, ainsi que la possibilité d'écouter les conversations", explique-t-il. la publication publiée aujourd'hui. "Un pirate informatique exploite également cette vulnérabilité pour déverrouiller la carte SIM de l'appareil, contournant ainsi les restrictions imposées par les opérateurs."

Dans un communiqué officiel, le Qualcomm remercie l'entreprise pour cette découverte et affirme avoir fourni des mises à jour pour la vulnérabilité dès décembre 2020. "Nous encourageons les utilisateurs Edge à mettre à jour leurs appareils à mesure que des correctifs sont disponibles", indique le texte. Il convient de mentionner que Check Point avait déjà fait un avertissement l'année dernière, attirant l'attention sur plus de 400 vulnérabilités présentes dans les processeurs Snapdragon.

Retard dans la correction

Même avec la mise à jour de Qualcomm, le porte-parole de Check Point, Ekram Ahmed, explique que les correctifs de vulnérabilités devraient mettre du temps à prendre effet. Précisément parce que, même si la société américaine a divulgué le bug à tous les clients qui utilisent la puce, on ne sait toujours pas quels appareils Android ont été corrigés. « D'après notre expérience, la mise en œuvre de ces correctifs prend du temps, de sorte que certains téléphones peuvent encore être soumis à la menace », explique Ahmed. "C'est pourquoi nous avons décidé de ne pas partager tous les détails techniques, car cela donnerait aux pirates une feuille de route pour orchestrer l'exploit."

La vulnérabilité a été suivie comme CVE-2020-11292. Check Point a fait cette découverte grâce à un processus connu sous le nom de « fuzzing », qui expose le système de puces à des entrées anormales pour suivre les bogues du micrologiciel. Dans cet article, Check Point explique le problème en détail.

Via Ars Technica

Image : Monoar_CGI_Artist/Pixabay/CC