Le 17 mars, l'équipe de recherche en sécurité de Google, connue sous le nom de Project Zero, a découvert une série de vulnérabilités dans ses modems . Plus précisément, elle a identifié 18 failles dans la puce Exynos de Samsung qui, selon ses recherches, étaient présentes de fin 2022 à début 2023 et compromettaient gravement les téléphones Pixel de Samsung , entre autres.
Les fabricants de puces et de smartphones, comme Samsung, s'efforcent depuis des années de proposer des appareils totalement sécurisés. Cependant, il semble impossible d'éviter toute vulnérabilité dans ces produits, et la division de recherche en sécurité de Google a découvert une nouvelle faille qui pourrait avoir des conséquences importantes.
Google signale 18 vulnérabilités dans les processeurs Samsung Exynos.
L'équipe de recherche en sécurité de Google a signalé que ces failles existaient depuis environ cinq mois et qu'elles étaient toujours présentes, mais la vérité est que sur les 18 vulnérabilités, quatre d'entre elles sont très préoccupantes.
Ces vulnérabilités permettraient l'exécution de code à distance via Internet sur la bande de base de l'appareil affecté. L'attaquant dispose ainsi de tous les éléments nécessaires pour prendre le contrôle total des appareils vulnérables à distance, à l'insu de l'utilisateur , ce qui représente un risque important.
La vulnérabilité la plus critique identifiée à ce jour est CVE-2023-24033, tandis que les trois autres sont encore en attente d'un identifiant CVE . D'après les études menées jusqu'à présent, les attaquants n'auront besoin que du numéro de téléphone de la victime pour exploiter ces failles , comme l'explique Tim Willis, directeur de Project Zero.
Cela signifie que ces failles de sécurité pourraient permettre à un attaquant de prendre le contrôle de l'appareil , entraînant une série de problèmes tels que le vol de données et la perte d'informations personnelles , ainsi que la fraude bancaire et d'autres problèmes. Par conséquent, cette vulnérabilité a été classée comme alarmante et doit être corrigée au plus vite.
« Les tests menés par Project Zero confirment que ces quatre vulnérabilités permettent à un attaquant de compromettre à distance un téléphone au niveau de la bande de base, sans intervention de l'utilisateur ; il lui suffit de connaître le numéro de téléphone de la victime. Avec quelques recherches et développements supplémentaires, nous pensons que des criminels sont capables de développer rapidement une faille de sécurité fonctionnelle pour compromettre à distance et discrètement les appareils affectés. »
Tim Willis, directeur du Projet Zéro
D'après les conclusions de Google , plusieurs modèles de smartphones sont concernés par cette faille de sécurité . Dans ce cas précis, les modems Exynos de Samsung équipent notamment les Galaxy S22, Galaxy A53, Pixel 6 et Pixel 7.
Cependant, les chercheurs ont identifié précisément les appareils de différentes marques qui sont gravement compromis et nécessitent des correctifs de sécurité immédiats . Il s'agit notamment des Samsung Galaxy S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 et A04.
Les appareils Vivo sont concernés, notamment les S16, S15, S6, X70, X60 et X30, tandis que les appareils Google sont touchés, notamment les séries Pixel 6 et Pixel 7. De plus, il a été indiqué que tout appareil mobile utilisant le processeur Exynos Auto T5123 est vulnérable à cette faille de sécurité.
Il est également important de préciser que posséder l'un de ces modèles de téléphone ne le rend pas nécessairement vulnérable à l'attaque, car la première chose à vérifier est de savoir si votre version de téléphone possède ou non le modem Exynos concerné.
D'après les résultats de l'étude, les modems Samsung Exynos concernés sont, à ce jour, les modèles 5132, 5300, 980, 1080 et Auto T5123. Il est donc conseillé de vérifier si votre téléphone en est équipé. Notez que tous les modèles n'ont pas été fabriqués avec ces puces.
Il convient de noter que, dans le cas du Samsung Galaxy S22, certaines séries ont été vendues avec une prise en charge du Snapdragon 8 Gen 1 , qui sont à l'abri de cette vulnérabilité, tandis que d'autres séries ont été vendues avec des puces Exynos.
Par mesure de précaution, l'équipe Project Zero de Google recommande aux utilisateurs d'éviter les appels Wi-Fi et de désactiver la 4G LTE si leur appareil est vulnérable. Ces précautions doivent être prises jusqu'à la publication d'un correctif de sécurité.
« En attendant la disponibilité des mises à jour de sécurité, les utilisateurs doivent prendre les mesures nécessaires pour se protéger. Cela permettra d'éliminer le risque de compromission de leurs systèmes. »
Tim Willis, directeur du Projet Zéro
