Dans le cadre d'un rapport annuel portant sur la sécurité d'Android, Google dénonce le délai beaucoup trop important observé entre la publication d'un patch de sécurité majeur… et son déploiement effectif sur le parc de smartphones éligibles.
L'écart entre la publication, par Google, de correctifs pour des failles de sécurité « 0-day » (parmi les plus graves), et leur déploiement effectif par les constructeurs de smartphones Android est trop long. C'est ce que pointe une nouvelle fois Google dans un rapport annuel publié le 27 juillet dernier. Une lacune dont Android souffre maintenant depuis des années.
La faute aux constructeurs ?
Dans son rapport, Google déplore notamment une « série de cas où le fournisseur [Google] en amont avait publié un correctif pour le problème, mais où le fabricant en aval n'avait pas pris le correctif et ne l'avait pas publié pour que les utilisateurs puissent l'appliquer ». Un problème de délais « plus fréquents et plus longs » qui concernerait bien plus Android que les autres plateformes, explique Google.
« Ces écarts (….) permettent aux n-days (vulnérabilités connues du public) de fonctionner comme des 0-days parce qu'aucun correctif n'est disponible pour l'utilisateur et que son seul moyen de défense est de cesser d'utiliser l'appareil », poursuit la firme.
Google exhorte… une nouvelle fois
Google donne notamment deux exemples, très probants. Le premier concerne la faille découverte sur les GPU ARM Mali (utilisés par de très nombreux smartphones). Cette dernière n'a été comblée sur Android qu'en avril 2023, soit 6 mois après la sortie du patch initial (développé par ARM), 9 mois après la découverte de la faille en elle-même et 5 mois après qu'elle a commencé à être exploitée activement par des pirates.
Autre exemple, celui de la vulnérabilité découverte dans le navigateur par défaut de Samsung. Cette faille était due, au moins en partie, à l'utilisation par ce navigateur d'une version de Chromium vieille de 7 mois.
Google appelle donc l'industrie à faire mieux. Rappelant aux différents acteurs du marché qu'ils « doivent faire parvenir rapidement les correctifs et les mesures d'atténuation aux utilisateurs afin qu'ils puissent se protéger ». Reste que ces différents acteurs n'ont visiblement pas tous la même définition du mot « rapidement ».
Source : 9to5Google
Passionné de nouvelles technos, d'Histoire et de vieux Rock depuis tout jeune, je suis un PCiste ayant sombré corps et biens dans les délices de macOS. J'aime causer Tech et informatique sur le web, ici et ailleurs. N’hésitez pas à me retrouver sur Twitter !
Lire d'autres articles
