Un chercheur en sécurité a découvert une vulnérabilité de sécurité Zero Day dans le noyau Linux qui compromet le Google Pixel 6 et d'autres téléphones.
La sécurité Android a parcouru un long chemin ces dernières années. La promotion de correctifs de sécurité mensuels a permis de tenir à distance des centaines de menaces, tandis que Google Play Protect est là pour interdire les logiciels malveillants du Play Store. Cependant, il existe encore des cas où des acteurs malveillants peuvent exploiter des vulnérabilités cachées dans le code d'Android à des fins néfastes. Zhenpeng Lin, chercheur en sécurité et doctorant à l'Université Northwestern, a récemment découvert une telle vulnérabilité sur le Google Pixel 6, et vous pourriez courir un risque même après avoir installé la dernière version. Mise à jour de sécurité de juillet 2022.
La vulnérabilité en question affecte la partie noyau d'Android, permettant à l'attaquant d'obtenir un accès arbitraire en lecture et en écriture, le privilège root et l'autorité nécessaire pour désactiver SELinux. Avec ce type d’élévation de privilèges, un acteur malveillant pourrait altérer le système d’exploitation, manipuler les routines de sécurité intégrées et causer bien plus de dégâts.
Alors que Lin a démontré l'exploit sur le Google Pixel 6, une poignée d'appareils Android de la génération actuelle sont sensibles à cette menace particulière du jour zéro, y compris le Google Pixel 6 Pro et le Samsung Galaxy S22 famille. En fait, la vulnérabilité affecte tous les appareils Android exécutant la version 5.10 du noyau Linux. Le noyau Linux standard est également affecté, selon Lin.
Notamment, les détails précis de la vulnérabilité n’ont pas été rendus publics. Lin, cependant, devrait apparaître dans Black Hat USA 2022 avec deux autres chercheurs nommés Yuhang Wu et Xinyu Xing. Selon le résumé de leur présentation -- « Prudence: une nouvelle méthode d'exploitation! "Pas de pipe mais aussi méchant que la pipe sale" -- le vecteur d'attaque est essentiellement une version généralisée, mais plus puissante, du tristement célèbre Vulnérabilité des tuyaux sales. De plus, il peut être étendu pour réaliser également l'évasion de conteneur sous Linux.
Bien que Google ait déjà été informé, nous n'avons pas encore vu de référence publique CVE pour cette vulnérabilité. Donné comment fonctionnent les correctifs de sécurité de Google, nous ne verrons peut-être pas ce problème résolu avant le déploiement du correctif de septembre. La bonne nouvelle est qu’il ne s’agit pas d’un RCE (exécution de code à distance) qui peut être exploité sans interaction de l’utilisateur. À notre avis, il peut être judicieux de retarder l'installation d'applications aléatoires provenant de sources non fiables jusqu'à ce que le correctif soit installé.
Source:Zhenpeng Lin sur Twitter, Chapeau noir
Via:Michaal Rahman