Le bulletin de sécurité Android d’août 2019 vient de paraître et les correctifs de sécurité Android de ce mois-ci incluent une correction pour deux vulnérabilités dangereuses qui affectent les périphériques équipés de puces Qualcomm.
Connues collectivement sous le nom de QualPwn, ces deux vulnérabilités « permettent aux attaquants de compromettre le noyau Android en direct », selon Tencent Blade, une division de cybersécurité de Tencent.
L’attaque par voie hertzienne n’est pas une attaque entièrement à distance, ce qui signifie qu’elle ne peut pas être exécutée sur Internet. Pour lancer une attaque QualPwn, l’attaquant et la cible doivent être sur le même réseau WiFi.
Néanmoins, les attaques QualPwn ne nécessitent pas d’interaction de la part de l’utilisateur, et les utilisateurs d’Android avec des puces Qualcomm affectées devront se pencher sur l’installation du correctif de sécurité Android OS d’août 2019.
Les deux principales vulnérabilités de QualPwn sont les suivantes :
CVE-2019-10538 – un buffer overflow qui affecte le composant WLAN de Qualcomm et le noyau Android. Peut être exploité en envoyant des paquets spécialement conçus à l’interface WLAN d’un périphérique, ce qui permet à l’attaquant d’exécuter du code avec les privilèges du noyau.
CVE-2019-10540 – un buffer overflow dans le micrologiciel du réseau local sans fil et du modem Qualcomm livré avec les puces Qualcomm. Peut être exploité en envoyant des paquets spécialement conçus vers le modem d’un appareil Android. Ceci permet l’exécution du code sur l’appareil.
Le premier problème a été corrigé dans le code source du système d’exploitation Android, tandis que le second a été corrigé dans le code du firmware de Qualcomm qui est livré sur un ensemble limité de périphériques.
Les chercheurs de Tencent ont déclaré qu’ils n’avaient testé les attaques QualPwn que sur les périphériques Google Pixel 2 et Pixel 3, qui utilisent des puces Qualcomm Snapdragon 835 et Snapdragon 845.
Toutefois, dans un avis de sécurité publié sur son site Web concernant le deuxième bogue (CVE-2019-10540), Qualcomm a déclaré que cette vulnérabilité avait eu des répercussions sur de nombreux autres jeux de puces, notamment : IPQ8074, MSM8996AU, QCA6174A, QCA6574AU, QCA8081, QCA9377, QCA9379, QCS404, QCS405, QCS605, SD 636, SD 665, SD 675, SD 712, SD 710, SD 670, SD 730, SD 820, SD 835, SD 845, SD 850, SD 855, SD 8CX, SDA660, SDM630, SDM660 et SXR1130.
Les chercheurs de Tencent Blade ont déclaré qu’ils avaient découvert les bogues par leurs propres moyens et qu’ils n’avaient vu aucune tentative d’exploitation publique, à leur connaissance. Ils prévoient d’examiner plus en profondeur les vulnérabilités de QualPwn et l’attaque en direct lors de la conférence sur la sécurité Black Hat USA 2019, et de la conférence sur la sécurité DEFCON 27.
Le patch Android du mois d’août élimine les failles. Il faudra toutefois que les équipementiers le pousse vers les appareils des utilisateurs, notamment pour les anciens appareils et les entrées/milieux de gammes. Ce qui n’est pas certain.
Source : Tencent Blade