Google publie un correctif pour 3 vulnérabilités exploitées sur Android

D'après The Hacker News , parmi les failles de sécurité Android corrigées par Google, trois sont exploitées dans des attaques ciblées. L'une d'elles, référencée CVE-2023-26083, est une fuite de mémoire affectant le pilote GPU Arm Mali des puces Bifrost, Avalon et Valhall.

Cette vulnérabilité a été exploitée lors d'une attaque qui a installé un logiciel espion sur des appareils Samsung en décembre 2022. Elle a été jugée suffisamment grave pour que la Cybersecurity and Infrastructure Security Agency (CISA - États-Unis) émette un ordre de correctif aux agences fédérales en avril 2023.

Une autre vulnérabilité critique, CVE-2021-29256, est une faille de haute gravité affectant certaines versions des pilotes de noyau GPU Arm Mali Bifrost et Midgard. Ce bug permet à un utilisateur non privilégié d'accéder sans autorisation à des données sensibles et d'élever ses privilèges au niveau maximal.

La troisième vulnérabilité exploitée est CVE-2023-2136, une faille de sécurité critique dans Skia, la bibliothèque graphique 2D open source multiplateforme de Google. Initialement identifiée comme une vulnérabilité zero-day du navigateur Chrome, elle permettait à des attaquants distants de s'échapper du sandbox et de déployer du code à distance sur des appareils Android.

Le correctif de sécurité Android de juillet de Google corrige également une vulnérabilité critique, CVE-2023-21250, affectant un composant du système Android qui pourrait permettre l'exécution de code à distance sans interaction de l'utilisateur ni privilèges supplémentaires.

Les bugs découverts sont inquiétants car ils affectent même les appareils Android plus anciens.

Ces mises à jour de sécurité sont déployées en deux phases. Le premier correctif, publié le 1er juillet, se concentre sur les composants essentiels d'Android et corrige 22 failles de sécurité dans le framework et les composants système. Le second correctif, publié le 5 juillet, concerne le noyau et les composants propriétaires, et corrige 20 vulnérabilités dans les composants du noyau, les puces Arm et la technologie d'imagerie des processeurs MediaTek et Qualcomm.

L’impact de ces vulnérabilités pourrait toutefois s’étendre au-delà des versions Android prises en charge (11, 12 et 13), affectant potentiellement des versions plus anciennes du système d’exploitation qui ne reçoivent plus de support officiel.

Google a également publié des correctifs de sécurité pour remédier à 14 vulnérabilités affectant des composants des appareils Pixel. Deux de ces failles critiques permettent une élévation de privilèges et des attaques par déni de service.

Lien source: https://thanhnien.vn/google-tung-ban-va-3-lo-hong-dang-bi-khai-thac-tren-android-185230710085344487.htm