MàJ : Qualcomm nous fait pavenir sa réaction suite à la découverte des vulnérabilités QuadRooter.
" C'est une priorité pour Qualcomm Technologies, Inc. (QTI) de fournir des technologies hautement sécurisées et respectant la vie privée de ses utilisateurs. Nous avons été informés par le chercheur au sujet de ces vulnérabilités entre février et avril de cette année, et avons partagé les correctifs nécessaires aux quatre vulnérabilités à nos clients, partenaires et à la communauté open source entre avril et juillet. Les correctifs ont également été affichés sur CodeAurora. QTI continue de travailler de manière proactive à la fois en interne ainsi qu'avec des chercheurs en sécurité pour identifier et traiter les potentielles failles de sécurité. "
-----
Sous l'appellation QuadRooter, la société de cybersécurité Check Point regroupe quatre vulnérabilités de sécurité affectant des terminaux Android. Pour chacune d'entre elles, une exploitation via une application malveillante peut donner à un attaquant un contrôle complet de l'appareil en déclenchant une élévation de privilèges pour obtenir insidieusement un accès root.
Les vulnérabilités ont été identifiées dans des pilotes logiciels pour des chipsets Qualcomm. Dans un rapport, Check Point estime que 900 millions de smartphones et tablettes manufacturés par Samsung, HTC, Motorola, LG et bien d'autres sont vulnérables.
Il s'avère que deux de ces quatre vulnérabilités ont reçu des correctifs idoines dans le cadre des mises à jour mensuelles de sécurité d'Android proposées par Google en juillet (CVE-2016-2503) et pour ce mois d'août (CVE-2016-2504). Des patchs concernant le GPU.
La faille identifiée en tant que CVE-2016-2059 a été corrigée fin avril et trouvée dans un module du noyau Linux pour Qualcomm. La vulnérabilité CVE-2016-5340 affectant un pilote GPU Qualcomm a aussi été corrigée mais la disponibilité des patchs se fait attendre.
Le cas de QuadRooter met surtout en lumière le problème des mises à jour de sécurité critiques qui dans le modèle de sécurité Android doivent franchir une chaîne entière d'approvisionnement avant d'être disponibles pour l'utilisateur final… si elles le sont un jour. Un souci que ne connaît pas Apple pour l'iPhone sans être épargné pour autant par les failles critiques.
Check Point propose une application gratuite QuadRooter Scanner afin de déterminer si un terminal Android est vulnérable. Le cas échéant, il vaudra mieux éviter - encore plus qu'à l'accoutumée - des fichiers APK et applications de sources non sûres.
Si le rapport de Check Point est alarmiste, gageons que l'antre du Google Play Store est épargné par une exploitation des failles QuadRooter.
