Votre smartphone Android est-il concerné par ces 3 failles critiques qui permettent de l'écouter ?

22 avril 2022 à 16h20
5
faille virus
© Shutterstock / metamorworks

Des vulnérabilités liées à une ancienne mouture du codec ALAC, encore largement utilisée aujourd'hui, peuvent être exploitées pour accéder à votre smartphone Android.

Les experts en cybersécurité de la société israélienne Check Point ont découvert trois failles de sécurité critiques dans les décodeurs audio des puces Qualcomm et MediaTek.

Les mobiles avec puce Qualcomm ou MediaTek sont vulnérables

Ces vulnérabilités peuvent être exploitées afin de prendre le contrôle à distance d'un appareil équipé d'un SoC concerné par les failles. Un pirate pourrait alors accéder aux données du terminal et de son utilisateur, et même l'espionner par l'intermédiaire du microphone ou de la caméra du mobile.

Qualcomm et MediaTek sont les principaux fournisseurs de puces des smartphones et tablettes Android. Le volume d'appareils concernés par les vulnérabilités est donc gigantesque. Check Point estime qu'environ les deux tiers des smartphones vendus en 2021 sont potentiellement exposés.

Les vulnérabilités sont facilement exploitables, selon un chercheur. L'envoi d'un fichier audio ouvert par le destinataire suffit à injecter du code malveillant dans l'appareil ciblé.

Un vieux codec audio d'Apple qui n'est plus supporté mis en cause

Les trois failles de sécurité (CVE-2021-0674 et CVE-2021-0675 pour MediaTek, CVE-2021-30351 pour Qualcomm) sont toutes inhérentes au codec audio Apple Lossless Audio Codec (ALAC), disponible depuis 2004 et rendu open source en 2011, ce qui a permis son intégration dans des composants tiers depuis cette date.

Problème, la version open source de l'ALAC n'a reçu aucune mise à jour de sécurité depuis ce moment, contrairement à l'ALAC propriétaire d'Apple que l'entreprise est la seule à exploiter.

Qualcomm et MediaTek ont été prévenus de ces vulnérabilités et ont publié des patchs correctifs pour les combler en décembre 2021. Mais cela ne signifie pas pour autant que vous êtes protégés puisqu'il faut que les constructeurs fassent l'effort de les inclure dans leurs mises à jour de sécurité pour que vous puissiez en bénéficier. Et c'est loin d'être gagné, notamment si vous êtes en possession d'un modèle ancien ou d'entrée de gamme.

Source : Check Point

Soyez toujours courtois dans vos commentaires.
Respectez le réglement de la communauté.
5
6
Popoulo
Quels modèles ? Quelles puces ? Au final on apprend pas grand chose pour ne pas dire rien.<br /> Et n’oubliez pas d’acheter Harmony Mobile Security de Check Point qui vous protègera de cette menace tel qu’ils le disent sur leur site
Felaz
« si vous êtes en possession d’un modèle ancien ou d’entrée de gamme » ça fait une sacrée liste de smartphones Android concernés En bonus : MediaTek Captures 43% Share of Smartphone AP/SoC Shipments: Q2 '21
cid1
L’article dit: Les trois failles de sécurité (CVE-2021-0674 et CVE-2021-0675 pour MediaTek, CVE-2021-30351 pour Qualcomm) sont toutes inhérentes au codec audio Apple Lossless Audio Codec (ALAC), disponible depuis 2004 et rendu open source en 2011, ce qui a permis son intégration dans des composants tiers depuis cette date.<br /> comme c’est un codec on peut aussi l’appeler CALAC (codec a la c…) ce truc touche les exinos de samsung et aussi les snapdragon, comment je le sais? et bien j’ai été piraté sur mon Galaxy A52 qui est briqué et complètement inutilisable et pour snapdragon je me suis pris un poco X3 pro et alors que je n’ai rien installé dessus, j’ai assisté à un truc qui m’a mis très mal à l’aise, alors que je tapais un message sms à mon frère pour lui donner mon nouveau num. de tel. le pirate a tapé (et mon adresse mail est …)bien sûr c"était une fausse adresse mail, alors j’ai envoyé un second sms qui disait (ne tiens pas compte du second message il viens du pirate) quand j’ai demandé à mon frère s’il avait reçu ma mise en garde, il m’a dit qu’il n’y avait pas de message parlant d’adresse mail.<br /> Flippant et je ne sais pas quoi faire…
mo256
@popoulo « Quels modèles ? Quelles puces ? Au final on apprend pas grand chose pour ne pas dire rien. »<br /> L’article cite 3 alertes CVE, il te faut quoi de plus ?
Khonar_LeBarban
@cid1 : Bizarre de se faire pirater avec un téléphone récent.<br /> A moins d’utiliser des applis chelous. Ou simplement des jeux, des applis sociales ou des apk installés. Et d’avoir qqun dans ton entourage qui te pirate, genre qui déverrouille ton mobile dans ton dos pour installer un jeu à la con bien vérolé (un ado, par exemple), sans se rendre compte qu’un portable, aujourd’hui, ça contient notre vie, pour le meilleur et pour le pire.<br /> Commence par installer un antivirus genre Kaspersky, qui pourra trouver un virus.<br /> Tu peux aussi faire une réinitialisation d’usine de ton mobile (après avoir sauvegardé tes données, contacts, sms, etc.)<br /> Et changer ton code, qqun pourrait le connaitre. Et si tu déverrouilles avec ton empreinte, change là par un autre doigt que l’index, peut-être que tu vis avec qqun qui profite de ton sommeil pour mettre ton doigt sur le capteur (je sais, c’est fou, mais ça fonctionne :-()<br /> Après, si tu as un Poco X3 pro, que tu comprends l’anglais (ou Google traduction ;-)) et un peu de savoir-faire, et que tu acceptes de risquer de briquer ton téléphone, tu peux suivre la manipulation pour REMPLACER tout ton système Android actuel par LineageOS, un Android vraiment libre et plus sécurisé (car à jour). Cela demande de la patience et quelques connaissances techniques, mais c’est accessible.<br /> LineageOS ROMs – 4 Sep 21<br /> Xiaomi POCO X3 Pro (vayu) - LineageOS ROMs<br /> Xiaomi POCO X3 Pro (vayu)<br /> L’interêt est d’avoir un mobile comme neuf avec un système mis à jour régulièrement avec ou sans Google au choix (on installe Google avec un pack supplémentaire après l’installation du package LineageOS.<br /> ATTENTION : Si tu ne le sens pas, si tu n’as personne pour t’aider autour de toi, laisse tomber.<br /> Si tu as l’impression que ton pirate à toujours la main sur ton mobile…C’est que tu as chopé une grosse merde et dans ce cas, c’est…poubelle ou vente sur le bon coin à prix cassé en expliquant que le mobile est piraté. Cela peut intéresser un geek qui saura se débarasser de la bête.<br /> Bon courage.
cid1
A @Khonar_LeBarban<br /> Alors, d’abord merci d’avoir répondu à mon post. Voilà la situation, il n’y a personne chez moi, je vis seul, qui aurait pu installer des apps vérolées et je n’ai pas installé de jeux ou quoique ce soit à part "whatsapp’ que j’ai installé via le google store, j’utilise mon gsm pour les appels, un peu d’internet « très peu » et whatsapp pour des appels en voip vers l’Italie et c’est tout. J’ai remarqué un truc bizarre avec mon A52, il était bloqué et quand j’ai enlevé les cartes sim et mémoire paf il marchait sur l’internet, je pouvait appeler ma sœur via whatsapp et utiliser tout les programmes sauf le tel qui bien sûr ne marche pas sans carte sim dès que je remettais la carte sim, le gsm se rebloquait.<br /> Je pense qu’il y a une ou des vulnérabilités sur la carte sim, après tout c’est une vieille technologie et qu’il suffirait de connaitre le numéro de tel pour te brancher sur le gsm et y faire ce qu’on veut. bien sûr je ne suis pas un expert mais ça me semble logique, ce sur quoi je réfléchis encore c’est comment il a eu mon nouveau numéro de tel ou peut-être est-ce l’adresse IP qui est nécessaire.<br /> Voilà merci encore pour ma part je m’achèterai peut-être un feature phone.<br /> Au revoir et passe une bonne journée.
atmen
cid1:<br /> second<br /> Populo a raison, l’article ne répond pas à la question posée dans son titre. Pour y répondre, il faut chercher, pour savoir si son appareil est concerné, pour savoir si les correctifs sortis par Qualcomm et Mediatek sont intégrés par Google dans les correctifs Android, si oui, de quel mois? Un peu dommage.
lightness
Intéressant ce que vous dites sauf le conseil de « vendre la me… Chez les autres »<br /> Sérieux conseiller de vendre un smartphone matériellement atteint par des failles de sécurité faut être complètement atteint.<br /> Non on fait recycler le smartphone et surtout il faut faire en sorte qu’il ne soit plus exploitable.
Khonar_LeBarban
Il me semble avoir précisé que lors de la vente 1/ il fallait indiquer les problèmes et 2/ que ça pouvait intéresser des geeks.<br /> Merci de lire jusqu’au bout, de réfléchir avant de lancer des insultes (je ne suis pas plus atteint que vous) et de rester courtois avant tout.
lightness
Bonjour, j’ai effectivement réagi à chaud et j’ai mal réagi, je vous demande de me pardonner.<br /> J’ai pourtant bien lu de haut en bas autrement :<br /> Et le fait même de revendre un matériel que l’on sait douteux sur le boncoin ou même à son voisin est à la base une idée de vouloir faire du profit sur du matériel que l’on sait défectueux en somme voilà ce qui est ressorti de mon analyse.<br /> En revanche, vous n’avez pas à subir mon humeur et encore moins de percevoir d’insulte de ma part effectivement.<br /> Mais j’ai tellement eu de gens naïf a dépanner qui avez en leur main des smartphones défectueux (comme orange et les iPhones 6 mal reconditionné pourtant vendu comme neuf) que ça me rend malade des fois.
Voir tous les messages sur le forum

Lectures liées

Vous cherchez à obtenir Photoshop ? Cette promo Adobe est faite pour vous !
Google Cloud va enfin lancer ses data centers en France
Windows 11 preview 25120 : bureau interactif et compatibilité ARM64
Renault va mettre un navigateur dans sa Mégane E-Tech, mais pas celui que vous pensez
Brave renforce encore la protection de votre vie privée sur iOS
Shadow repense son offre de cloud computing et annonce un drive gratuit de 20 Go
Découvrez l'app Microsoft Designer en images, le successeur de Publisher ?
Surfshark VPN s'offre enfin une interface sous Linux
Apple dévoile ses prochaines fonctionnalités d'accessibilité : détection de porte, Live Caption, etc.
iOS 15.5 : voici toutes les nouveautés déployées sur votre iPhone par la nouvelle mise à jour Apple
Haut de page