Date : 5 novembre 2024

Google met en garde contre la vulnérabilité CVE-2024-43093 activement exploitée dans le système Android

Google a lancé l'alerte : une faille de sécurité affectant son système d'exploitation Android est actuellement exploitée activement dans la nature. Ah, Android et ses petits cadeaux surprises !

Cette vulnérabilité, identifiée sous le doux nom de CVE-2024-43093, est décrite comme une faille d'élévation de privilèges dans le composant du framework Android. En clair, elle permettrait un accès non autorisé aux répertoires "Android/data", "Android/obb" et "Android/sandbox" (et leurs sous-répertoires). De quoi fouiller un peu partout, avec classe, dans votre téléphone...

Pour le moment, aucun détail sur la façon dont cette vulnérabilité est exploitée dans des attaques réelles. Mais bon, Google admet dans son bulletin mensuel qu'il y a des indices laissant penser que l'exploitation serait "limitée et ciblée". Traduction : quelqu’un s'amuse discrètement, mais on ne sait pas trop comment.

Et ce n'est pas tout ! Le géant de la tech a également signalé la vulnérabilité CVE-2024-43047, un bug de sécurité maintenant corrigé dans les puces Qualcomm, qui lui aussi a été activement exploité. Ah, les puces Qualcomm, elles non plus ne sont jamais en reste… Cette faille, un problème "use-after-free" dans le service Digital Signal Processor (DSP), pourrait causer une corruption de mémoire si elle est exploitée avec succès.

Le mois dernier, Qualcomm a remercié chaleureusement Seth Jenkins et Conghui Wang, chercheurs chez Google Project Zero, pour leur rapport sur la faille, ainsi qu’Amnesty International Security Lab pour avoir confirmé que oui, quelqu'un l’exploitait dans la nature. Un vrai travail d’équipe !

L’avis officiel reste vague sur les détails des attaques exploitant cette faille ou sur le moment exact où cela a commencé. Mais il n’est pas impossible qu’elle ait été utilisée dans des attaques de spyware très ciblées contre des membres de la société civile. Un scénario digne des meilleurs thrillers technologiques.

Enfin, il est encore trop tôt pour savoir si ces deux vulnérabilités sont combinées pour créer une belle chaîne d'exploitation permettant une élévation des privilèges et une exécution de code. Ce serait presque élégant, non ?

Ah, et petite cerise sur le gâteau : CVE-2024-43093 est la deuxième faille activement exploitée dans le framework Android après CVE-2024-32896, que Google avait déjà patchée en juin et septembre 2024. Mais à l’époque, cette correction ne concernait que les appareils Pixel. Comme toujours, Google a fini par admettre que le problème touchait en fait tout l’écosystème Android. Un petit oubli de leur part, sûrement...